🇰🇷 한글 설명
Duck Site 1.0.1 이전 버전의 배포 워크플로우에는 풀 리퀘스트 빌드가 배포 조건을 우회하여 프로덕션 환경에 악성 Docker 이미지를 배포할 수 있는 취약점이 있습니다. 공격자는 병합되지 않은 풀 리퀘스트 코드를 직접 프로덕션 사이트로 배포할 수 있습니다.
💡 쉬운 설명
이 취약점은 해커가 승인되지 않은 코드를 사이트의 실제 운영 환경에 강제로 설치할 수 있게 합니다. 개발 과정의 안전 장치를 우회하여 악성 코드가 배포되도록 만드는 문제입니다.
🇺🇸 원문 (English)
In Duck Site before version 1.0.1, the repository has a deploy workflow that runs after the build workflow completes. The build workflow runs on pull requests, while the deploy workflow runs with package-write permissions and deployment secrets. If an attacker can make a pull request build satisfy the deploy workflow’s main branch condition, the deploy job checks out the triggering workflow commit, builds it into a Docker image, pushes it as latest, and triggers Dokploy deployment. This can allow attacker-controlled pull request code to become the deployed production site image without being merged. This issue has been patched in version 1.0.1.
📍 영향받는 시스템
Duck Site version < 1.0.1
⚔️ 공격 벡터
풀 리퀘스트 빌드 워크플로우를 조작하여 배포 워크플로우의 조건을 만족시킴
🛡️ 대응 방법
Duck Site를 버전 1.0.1 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 1.0.1 미만인 경우 취약한 것으로 판단합니다.