🇰🇷 한글 설명
Sherlock의 GitHub Actions 워크플로우(validate_modified_targets.yml)가 pull_request_target 트리거를 통한 명령 인젝션 취약점을 가지고 있습니다. 승인이나 검토 없이 모든 GitHub 사용자가 풀 리퀘스트를 열어 CI 러너에서 임의 명령을 실행하고 GITHUB_TOKEN을 탈취할 수 있습니다.
💡 쉬운 설명
Sherlock의 GitHub 자동화 시스템이 사용자 입력을 제대로 검증하지 않아 누구나 승인 없이 서버에서 악의적인 명령을 실행할 수 있습니다. 공격자는 이를 통해 시스템의 보안 토큰을 훔칠 수 있습니다.
🇺🇸 원문 (English)
Sherlock hunts down social media accounts by username across social networks. Prior to 0.16.1, the GitHub Actions workflow validate_modified_targets.yml is vulnerable to command injection via the pull_request_target trigger. Any GitHub user can execute arbitrary commands on the CI runner and exfiltrate the GITHUB_TOKEN by opening a pull request. No approval, review, or merge is required. This vulnerability is fixed in 0.16.1.
📍 영향받는 시스템
Sherlock < 0.16.1
⚔️ 공격 벡터
GitHub 풀 리퀘스트 열기 → validate_modified_targets.yml 워크플로우 트리거 → 명령 인젝션으로 GITHUB_TOKEN 탈취
🛡️ 대응 방법
Sherlock을 0.16.1 이상으로 업그레이드하거나, pull_request_target 대신 pull_request 트리거 사용 및 사용자 입력 검증 강화
🔧 검증 코드
Version이 0.16.1 이상이면 패치됨. 설치되지 않았거나 0.16.1 미만이면 취약함
pip show sherlock-project 2>/dev/null | grep Version || echo 'not installed'