🇰🇷 한글 설명
GitHub Enterprise Server에서 git push 옵션 값이 내부 서비스 헤더에 포함될 때 제대로 새니타이징되지 않아, 리포지토리 푸시 접근 권한이 있는 공격자가 구분자 문자를 이용해 메타데이터 필드를 주입할 수 있습니다. 이를 통해 인스턴스에서 원격 코드 실행이 가능합니다.
💡 쉬운 설명
깃허브 서버의 코드 업로드(push) 기능에서 특수 문자가 제대로 검사되지 않아, 업로드 권한이 있는 사람이 악의적인 명령어를 몰래 심을 수 있습니다. 이를 통해 공격자가 서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
An improper neutralization of special elements vulnerability was identified in GitHub Enterprise Server that allowed an attacker with push access to a repository to achieve remote code execution on the instance. During a git push operation, user-supplied push option values were not properly sanitized before being included in internal service headers. Because the internal header format used a delimiter character that could also appear in user input, an attacker could inject additional metadata fields through crafted push option values. This vulnerability was reported via the GitHub Bug Bounty program and has been fixed in GitHub Enterprise Server versions 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7 and 3.19.4.
📍 영향받는 시스템
GitHub Enterprise Server 3.14.x(3.14.25 미만), 3.15.x(3.15.20 미만), 3.16.x(3.16.16 미만), 3.17.x(3.17.13 미만), 3.18.x(3.18.7 미만), 3.19.x(3.19.4 미만)
⚔️ 공격 벡터
리포지토리 푸시 접근 권한이 있는 내부자 또는 협력자가 git push 옵션에 특수 문자를 포함시켜 메타데이터 필드를 주입
🛡️ 대응 방법
GitHub Enterprise Server를 각 버전별 패치 버전 이상(3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7, 3.19.4)으로 즉시 업그레이드
🔧 검증 코드
명령어 결과의 버전 번호를 위 영향받는 시스템 목록의 패치된 버전과 비교하여, 현재 버전이 각 시리즈의 최소 패치 버전 이상인지 확인
curl -s http://localhost:8080/api/v3/version 2>/dev/null | grep -oP '"version":\s*"\K[^"]+' | awk -F. '{print $1"."$2"."$3}'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
GitHub 제품 보안 업데이트 권고
P4
📅 2026-04-29 · sec_notice
GitHub Enterprise Server에서 Command Injection 취약점(CVE-2026-3854)이 발견되었으며, 3.14.x~3.19.x의 여러 버전이 영향을 받습니다. 각 버전별로 제시된 패치 버전으로의 즉시 업데이트가 권장됩니다.