🇰🇷 한글 설명
GitHub Workflow Updater VS Code 확장의 0.0.7 이전 버전에서 GitHub 토큰이 평문으로 에디터 설정 JSON 파일에 저장되는 취약점입니다. 홈 디렉토리에 대한 읽기 권한이 있는 공격자가 토큰을 도용하여 GitHub 계정으로 악의적인 작업을 수행할 수 있습니다.
💡 쉬운 설명
VS Code 확장에서 GitHub 인증 토큰이 보호되지 않은 설정 파일에 평문으로 저장되었습니다. 컴퓨터에 접근 가능한 사용자가 이 파일을 읽어 GitHub 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
GitHub Workflow Updater is a VS Code extension that automatically pins GitHub Actions to specific commits for enhanced security. Before 0.0.7, any provided Github token would be stored in plaintext in the editor configuration as json on disk, rather than through the more secure "securestorage" api. An attacker with read only access to your home directory could have read this token and used it to perform actions with that token. Update to 0.0.7.
📍 영향받는 시스템
GitHub Workflow Updater VS Code extension < 0.0.7
⚔️ 공격 벡터
홈 디렉토리의 설정 JSON 파일에서 평문 GitHub 토큰 추출 및 악용
🛡️ 대응 방법
GitHub Workflow Updater를 0.0.7 이상 버전으로 즉시 업데이트
🔧 검증 코드
버전이 0.0.7 이상이면 패치되었고, 그 이하이면 업데이트 필요합니다.
code --list-extensions --show-versions | grep -i 'workflow\|github'