🇰🇷 한글 설명
konflux-ci의 지속적 통합(CI) 자동화 스크립트가 GitHub 액세스 토큰을 실행 후 정리하지 않고 러너에 평문으로 저장합니다. CI 환경에 접근 가능한 로컬 공격자는 이 자격 증명을 읽어 무단으로 저장소에 접근할 수 있으며, 이는 소스 코드나 릴리스 아티팩트 변조로 이어질 수 있습니다.
💡 쉬운 설명
자동화된 빌드 도구가 GitHub 접속 열쇠를 사용 후에도 지우지 않고 그대로 남겨둡니다. 내부에 접근할 수 있는 사람은 이 열쇠로 코드를 몰래 바꿀 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in konflux-ci. Continuous Integration (CI) automation scripts store sensitive GitHub access tokens in plaintext on the runner without cleaning them up after execution. A local attacker with access to the CI environment can read these stored credentials to gain unauthorized repository access, potentially allowing them to modify source code or release artifacts.
📍 영향받는 시스템
konflux-ci CI 자동화 스크립트를 사용하는 러너 환경 (구체적 버전 정보 미확인)
⚔️ 공격 벡터
CI 러너에 로컬 접근 권한을 가진 공격자가 평문 저장된 GitHub 토큰을 읽어 저장소에 무단 접근
🛡️ 대응 방법
토큰을 평문으로 저장하지 않도록 스크립트를 수정하고, 실행 후 자격 증명 파일을 즉시 삭제하며, 노출된 토큰은 폐기 후 재발급
🔧 검증 코드
결과에 파일 경로가 출력되면 해당 스크립트에서 토큰이 평문으로 다뤄지는지 검토하고, 출력이 없으면 검색 범위 내에서 해당 패턴이 발견되지 않은 것입니다
grep -rIl --include='*.sh' -E 'GITHUB_TOKEN|GH_TOKEN' . 2>/dev/null | head -n 20