🇰🇷 한글 설명
OWASP BLT의 2.1.2 이전 버전에서 GitHub Actions 워크플로우가 pull_request_target(특권 트리거)을 사용하면서 공격자의 포크에서 코드를 직접 체크아웃하여 실행하여, 쓰기 권한을 가진 원격 코드 실행(RCE)을 가능하게 한다. 2.1.2에서 수정되었다.
💡 쉬운 설명
GitHub이 자동으로 코드를 실행할 때 해커의 수정된 코드를 신뢰하고 실행해서, 해커가 서버에 접근할 수 있게 되는 문제입니다. 버전 2.1.2 이상으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
OWASP BLT is a QA testing and vulnerability disclosure platform that encompasses websites, apps, git repositories, and more. Prior to 2.1.2, .github/workflows/pre-commit-fix.yaml uses pull_request_target (privileged trigger) but checks out and executes code directly from the attacker's fork, enabling RCE with write permissions. This vulnerability is fixed in 2.1.2.
📍 영향받는 시스템
OWASP BLT 2.1.2 미만 버전
⚔️ 공격 벡터
공격자가 저장소를 포크 후 악의적 코드를 추가한 PR을 생성하면, pull_request_target 워크플로우가 공격자의 코드를 신뢰하고 직접 실행하여 RCE 발생
🛡️ 대응 방법
OWASP BLT를 2.1.2 이상으로 업그레이드하고, pull_request_target에서 신뢰할 수 없는 코드 실행 제거
🔧 검증 코드
OWASP BLT 저장소의 워크플로우 파일에서 pull_request_target과 checkout이 함께 있으면 '취약함', 없으면 '안전함'
curl -s https://raw.githubusercontent.com/OWASP/BLT/main/.github/workflows/pre-commit-fix.yaml 2>/dev/null | grep -q 'pull_request_target.*actions/checkout' && echo '취약함' || echo '안전함'