🇰🇷 한글 설명
GitHub Actions를 로컬에서 실행할 수 있게 해주는 'act' 프로젝트에서 발견된 취약점입니다. 0.2.86 버전 이전까지는 보안 위험으로 인해 사용이 중단된 ::set-env:: 및 ::add-path:: 명령어를 조건 없이 처리하는 문제가 있었습니다. 공격자가 신뢰할 수 없는 데이터를 표준 출력으로 보낼 때 이 명령어를 주입하여 임의의 환경 변수를 설정하거나 PATH를 수정할 수 있습니다.
💡 쉬운 설명
로컬에서 깃허브 액션을 실행하는 도구의 보안 설정이 누락되어 발생하는 문제입니다. 해커가 특수한 명령어를 입력해 시스템 설정을 마음대로 바꾸거나 위험한 프로그램을 실행하도록 유도할 수 있습니다.
🇺🇸 원문 (English)
act is a project which allows for local running of github actions. Prior to version 0.2.86, act unconditionally processes the deprecated ::set-env:: and ::add-path:: workflow commands, which was disabled due to environment injection risks. When a workflow step echoes untrusted data to stdout, an attacker can inject these commands to set arbitrary environment variables or modify the PATH for all subsequent steps in the job. This issue has been patched in version 0.2.86.
📍 영향받는 시스템
act 버전 0.2.86 미만
⚔️ 공격 벡터
신뢰할 수 없는 데이터를 표준 출력(stdout)으로 출력하여 ::set-env:: 또는 ::add-path:: 명령어 주입
🛡️ 대응 방법
act를 최신 버전(0.2.86 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.2.86보다 낮은 경우 취약한 상태입니다.
act version | grep -E 'v[0-9]+\.[0-9]+\.[0-9]+'