🇰🇷 한글 설명
Quest Bot 1.0.3 이전 버전의 GitHub Actions 워크플로우에는 보안 취약점이 존재합니다. 공격자가 main 브랜치로 이름이 지정된 풀 리퀘스트를 생성하면, 배포 워크플로우가 악성 코드를 특권 컨텍스트에서 빌드하고 프로덕션에 배포하도록 유도할 수 있습니다.
💡 쉬운 설명
봇의 자동 배포 시스템이 악의적인 코드 변경을 제대로 검증하지 않아 해커가 봇을 장악할 수 있습니다. 이 문제는 풀 리퀘스트 브랜치 이름과 빌드 조건을 강화하여 해결되었습니다.
🇺🇸 원문 (English)
Quest Bot is an opensource modern Discord Bot built for moderation, utilities and support. Prior to version 1.0.3, the repository has a privileged deploy workflow that runs after the unprivileged build workflow completes. The build workflow runs on pull requests, and the deploy workflow checks out the triggering workflow’s head_sha, builds that code into a Docker image, pushes it as latest, and triggers production deployment. If an attacker can open a pull request from a branch named main, the deploy workflow condition can treat the PR build as deployable and build the attacker-controlled commit in a privileged deployment context. This can result in malicious container deployment and production bot compromise. This issue has been patched in version 1.0.3.
📍 영향받는 시스템
Quest Bot version < 1.0.3
⚔️ 공격 벡터
main 브랜치로 이름이 지정된 풀 리퀘스트 생성을 통한 악성 코드 배포 유도
🛡️ 대응 방법
Quest Bot을 버전 1.0.3 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
명령어 실행 결과 'Patched'가 출력되면 패치된 버전이며, 'Vulnerable'이 출력되면 취약한 버전입니다.
git log --oneline -n 1 | grep -q '1.0.3' && echo 'Patched' || echo 'Vulnerable'