🇰🇷 한글 설명
Eclipse Theia Website 저장소의 GitHub Actions 워크플로우에서 pull_request_target 트리거를 사용하여 신뢰할 수 없는 풀 리퀘스트 코드를 체크아웃하고 실행하는 취약점이 발견되었습니다. 이 취약점을 이용하면任意의 GitHub 사용자가 저장소의 CI 환경에서 임의의 코드를 실행할 수 있으며, 저장소 비밀번호와 광범위한 쓰기 권한(GITHUB_TOKEN)을 획득할 수 있습니다. 공격자는 비밀번호를 유출하거나, 악의적인 패키지를 발행하거나, 공식 Theia 웹사이트를 수정하거나, 악의적인 코드를 저장소에 푸시할 수 있습니다.
💡 쉬운 설명
Eclipse Theia Website의 GitHub Actions 워크플로우에서 취약점이 발견되었습니다. 이 취약점을 이용하면 공격자가 임의의 코드를 실행할 수 있으며, 비밀번호를 유출하거나 악의적인 패키지를 발행할 수 있습니다. 사용자는 즉시 조치를 취하여 취약점을 해결해야 합니다.
🇺🇸 원문 (English)
In the Eclipse Theia Website repository, the GitHub Actions workflow .github/workflows/preview.yml used pull_request_target trigger while checking out and executing untrusted pull request code. This allowed any GitHub user to execute arbitrary code in the repository's CI environment with access to repository secrets and a GITHUB_TOKEN with extensive write permissions (contents:write, packages:write, pages:write, actions:write). An attacker could exfiltrate secrets, publish malicious packages to the eclipse-theia organization, modify the official Theia website, and push malicious code to the repository.
📍 영향받는 시스템
Eclipse Theia Website 저장소의 GitHub Actions 워크플로우
⚔️ 공격 벡터
GitHub 사용자가 pull_request_target 트리거를 이용하여 임의의 코드를 실행
🛡️ 대응 방법
GitHub Actions 워크플로우에서 pull_request_target 트리거를 제거하고, 저장소에 대한 접근 권한을 제한합니다.
🔧 검증 코드
로컬 Linux PC에서 Python을 설치하고, 위의 코드를 실행하여 취약점 여부를 점검합니다. 코드를 실행하기 전에는 GitHub API에 대한 접근 권한이 필요하지 않습니다.
python -c "import requests; response = requests.get('https://api.github.com/repos/eclipse-theia/theia/actions/workflows'); if 'pull_request_target' in response.text: print('{"result": "취약", "reason": "pull_request_target 트리거가 발견됨"}'); else: print('{"result": "양호", "reason": "pull_request_target 트리거가 발견되지 않음"}')"