🇰🇷 한글 설명
Emissary는 P2P 기반 데이터 기반 워크플로우 엔진으로, 8.39.0 이전 버전에서 GitHub Actions 워크플로우 파일의 shell injection 취약점을 갖고 있습니다. workflow_dispatch 입력값이 ${{ }} 구문을 통해 shell 명령어에 직접 삽입되어 저장소 쓰기 권한을 가진 공격자가 임의의 명령어를 실행할 수 있습니다. 이는 저장소 중독을 통한 공급망 공격으로 이어질 수 있습니다.
💡 쉬운 설명
Emissary의 자동화 작업 설정에서 사용자 입력값이 그대로 명령어로 실행되는 문제입니다. 저장소 수정 권한이 있는 사람이 악의적인 명령어를 숨겨 주입할 수 있습니다.
🇺🇸 원문 (English)
Emissary is a P2P based data-driven workflow engine. Prior to 8.39.0, GitHub Actions workflow files contained shell injection points where user-controlled workflow_dispatch inputs were interpolated directly into shell commands via ${{ }} expression syntax. An attacker with repository write access could inject arbitrary shell commands, leading to repository poisoning and supply chain compromise affecting all downstream users. This vulnerability is fixed in 8.39.0.
📍 영향받는 시스템
Emissary < 8.39.0
⚔️ 공격 벡터
Repository write access를 통해 GitHub Actions workflow_dispatch 입력값에 shell injection payload 주입
🛡️ 대응 방법
Emissary를 8.39.0 이상으로 업그레이드
🔧 검증 코드
버전이 8.39.0 이상이면 패치됨, 미만이면 취약
pip show emissary 2>/dev/null | grep Version