🇰🇷 한글 설명
Chainguard Academy의 integrate-platform-docs GitHub Action에서 OS 명령 처리 미흡으로 인한 취약점이 발견되었습니다. 공격자가 project_id 또는 storage_bucket 입력을 제어할 수 있다면 GitHub Actions 러너에서 임의의 셸 명령을 실행할 수 있습니다. 다만, 현재 구조상 신뢰할 수 없는 입력이 도달할 가능성은 낮은 것으로 평가됩니다.
💡 쉬운 설명
GitHub에서 사용하는 자동화 도구에 보안 구멍이 있어, 특정 값을 조작하면 해커가 명령어를 몰래 실행할 수 있습니다. 하지만 현재는 허가된 사용자만 사용할 수 있는 구조라 실제 위험도는 낮습니다.
🇺🇸 원문 (English)
Improper Neutralization of Special Elements used in an OS Command in the integrate-platform-docs composite GitHub Action of Chainguard Academy (edu) from commit 7375a80caabcc31c33ec90f29687ed78c13d16ff before commit fb0efb2537d326ab18c07d620875b8ed2a4b39f3 allows an actor who controls the project_id or storage_bucket inputs to execute arbitrary shell commands on the GitHub Actions runner, because the inputs are interpolated directly into Bash gcloud storage cp commands in several steps via ${{ inputs.* }} expressions. The only in-repository caller passed repository secrets and ran only on trusted triggers, so no untrusted input was known to reach the vulnerable steps.
📍 영향받는 시스템
Chainguard Academy (edu) integrate-platform-docs GitHub Action (commit 7375a80caabcc31c33ec90f29687ed78c13d16ff 이전 버전)
⚔️ 공격 벡터
project_id 또는 storage_bucket 입력값에 악성 셸 명령어를 삽입하여 실행
🛡️ 대응 방법
입력값을 직접 Bash 명령에 삽입하지 않도록 코드를 수정하고, 입력값에 대한 검증 로직을 추가하거나 최신 커밋(fb0efb2537d326ab18c07d620875b8ed2a4b39f3)으로 업데이트하십시오.
🔧 검증 코드
출력된 커밋 해시가 취약점이 해결된 fb0efb2537d326ab18c07d620875b8ed2a4b39f3 이후인지 확인하십시오.