🇰🇷 한글 설명
AWX의 GitHub 웹훅 통합 기능에서 pull_request 상태 URL을 검증 없이 저장하는 결함이 발견되었습니다. 공격자가 조작된 웹훅을 통해 콜백 URL을 자신의 서버로 변경하면, 설정된 GitHub 개인 액세스 토큰(PAT)이 탈취될 수 있습니다.
💡 쉬운 설명
GitHub과 연결된 시스템이 잘못된 주소를 믿고 중요한 비밀번호를 공격자의 서버로 보내버릴 수 있는 문제입니다. 공격자가 가짜 신호를 보내면 시스템이 중요한 인증 정보를 공격자에게 직접 전달하게 됩니다.
🇺🇸 원문 (English)
A flaw was found in the AWX GitHub webhook integration. When processing GitHub pull_request webhooks, the controller stores the pull_request.statuses_url value from the webhook payload without validating that it points to a trusted GitHub API endpoint. If a job template is configured with a GitHub Personal Access Token as its webhook credential, the controller later POSTs that token to the stored callback URL when posting job status updates. An attacker who can submit a correctly signed forged webhook using the job template's webhook_key can redirect the callback to an attacker-controlled URL and exfiltrate the configured GitHub PAT.
📍 영향받는 시스템
AWX (GitHub webhook integration 사용 시)
⚔️ 공격 벡터
조작된 GitHub pull_request 웹훅을 전송하여 콜백 URL을 공격자 제어 서버로 유도한 뒤 PAT 탈취
🛡️ 대응 방법
AWX를 최신 보안 패치가 적용된 버전으로 업데이트하고, 웹훅 설정 시 신뢰할 수 있는 엔드포인트만 허용하도록 구성하십시오.
🔧 검증 코드
설치된 AWX 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 제조사의 보안 권고문을 통해 대조하십시오.
awx-manage --version 2>/dev/null || echo 'AWX not found in path'