🇰🇷 한글 설명
KanaDojo의 release.yml 워크플로우에서 patchNotesData.json 파일의 버전 및 변경 사항 필드가 비검증된 상태로 child_process.execSync()에 삽입되어 명령어 삽입 취약점이 발생합니다. 공격자는 풀 리퀘스트 접근 권한을 통해 악성 코드를 주입하고 GITHUB_TOKEN 및 콘텐츠 쓰기 권한을 이용해 임의의 셸 명령을 실행할 수 있습니다.
💡 쉬운 설명
소프트웨어 업데이트 정보를 입력받는 과정에서 보안 검사를 건너뛰어 해커가 시스템 명령을 직접 실행할 수 있는 구멍이 있습니다. 풀 리퀘스트를 통해 악의적인 내용을 제출하면 해커가 시스템 전체를 장악할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
KanaDojo contains a command injection vulnerability that allows an attacker with pull request access to execute arbitrary shell commands by inserting shell metacharacters into the version or changes fields of patchNotesData.json, which are interpolated unsanitized into a child_process.execSync() call in the release.yml workflow. Attackers can have a malicious pull request merged to trigger the GitHub Actions runner with contents write permissions and access to GITHUB_TOKEN.
📍 영향받는 시스템
KanaDojo (GitHub Actions release.yml 워크플로우)
⚔️ 공격 벡터
악성 풀 리퀘스트 머지를 통한 워크플로우 실행 및 셸 명령어 삽입
🛡️ 대응 방법
patchNotesData.json의 입력값을 execSync 호출 전에 엄격하게 검증하거나 sanitize 처리해야 합니다.
🔧 검증 코드
명령어 실행 시 patchNotesData 변수가 직접 execSync에 전달되는 코드가 발견되면 취약점이 존재합니다.
grep -r 'execSync.*patchNotesData' .github/workflows/release.yml