🇰🇷 한글 설명
goshs 2.0.0-beta.6 이전 버전에서 ArtiPACKED 취약점으로 인해 GitHub Actions 워크플로우 아티팩트를 통해 GITHUB_TOKEN이 누출될 수 있습니다. 저장소 소스 코드에 토큰이 없더라도 아티팩트에 의해 노출될 수 있으며, 2.0.0-beta.6에서 이 문제가 해결되었습니다.
💡 쉬운 설명
goshs 도구가 GitHub 토큰을 실수로 노출시킬 수 있는 보안 결함을 가지고 있습니다. 아티팩트 저장 시스템을 통해 민감한 인증 정보가 누출될 위험이 있습니다.
🇺🇸 원문 (English)
goshs is a SimpleHTTPServer written in Go. Prior to 2.0.0-beta.6, goshs has an ArtiPACKED vulnerability. ArtiPACKED can lead to leakage of the GITHUB_TOKEN through workflow artifacts, even though the token is not present in the repository source code. This vulnerability is fixed in 2.0.0-beta.6.
📍 영향받는 시스템
goshs version < 2.0.0-beta.6
⚔️ 공격 벡터
GitHub Actions 워크플로우 아티팩트에 접근하여 저장된 GITHUB_TOKEN 정보를 획득
🛡️ 대응 방법
goshs를 2.0.0-beta.6 이상 버전으로 업그레이드
🔧 검증 코드
goshs 모듈이 설치된 경우 버전 정보가 출력되고, 설치되지 않은 경우 'goshs not found'가 표시됨. 버전이 2.0.0-beta.6 이상인지 확인
go list -m all 2>/dev/null | grep goshs || echo 'goshs not found'