🇰🇷 한글 설명
Espressif GitHub DangerJS 액션이 fork PR 처리 시 신뢰할 수 없는 검색 경로에서 DangerJS를 호출하여 fork 제공 코드가 액션 컨테이너 내에서 실행되는 취약점입니다. pull_request_target 워크플로우에서 binary와 Node.js 모듈 해석 경로가 제대로 격리되지 않아 악의적 코드 실행이 가능합니다. 1.0.1에서 수정되었습니다.
💡 쉬운 설명
GitHub 자동화 도구가 다른 사람의 fork에서 제출한 코드를 검증 없이 내부 서버에서 실행할 수 있는 문제입니다. 공격자가 fork PR을 통해 악의적 코드를 주입하면 프로젝트 환경의 민감한 정보나 리소스에 접근할 수 있습니다.
🇺🇸 원문 (English)
Espressif Shared GitHub DangerJS is a reusable GitHub Action CI DangerJS workflow for Espressif GitHub projects. Prior to 1.0.1, the action's entrypoint.sh invoked DangerJS from the caller's workspace after copying the fork's checkout into it, creating an untrusted search path for both binary resolution and Node.js module resolution. A fork pull request processed by a pull_request_target workflow could therefore cause fork-supplied code to execute inside the action container in place of the action's own code. This vulnerability is fixed in 1.0.1.
📍 영향받는 시스템
Espressif Shared GitHub DangerJS v1.0.0 이하
⚔️ 공격 벡터
fork pull request에 악의적 코드를 포함시켜 pull_request_target 워크플로우 트리거 시 컨테이너 내 실행
🛡️ 대응 방법
Espressif Shared GitHub DangerJS를 v1.0.1 이상으로 업그레이드
🔧 검증 코드
검색된 버전이 v1.0.1 이상이면 안전하고 v1.0.0 이하이면 취약점 존재
grep -r 'espressif/shared-github-dangerjs' .github/workflows/ | grep -oE '@v[0-9]+\.[0-9]+\.[0-9]+'