🇰🇷 한글 설명
oasdiff-action은 OpenAPI 명세의 변경 사항을 감지하는 GitHub Action입니다. 0.0.51 버전 이전에는 외부 $ref를 기본적으로 허용하여, 공격자가 제어하는 Pull Request를 통해 SSRF 공격 및 러너 내 구조화된 파일 노출이 가능했습니다.
💡 쉬운 설명
공격자가 조작된 파일을 제출하면, 자동화 도구가 이를 처리하는 과정에서 내부 네트워크나 서버의 비밀 정보를 몰래 읽어갈 수 있는 보안 취약점입니다. 이 문제는 외부 참조 기능을 차단함으로써 해결되었습니다.
🇺🇸 원문 (English)
oasdiff-action is a GitHub Action that detects breaking changes in OpenAPI specs and post a review on every pull request. Before version 0.0.51, the oasdiff actions resolved external $refs in the OpenAPI spec by default (allow-external-refs: true). When an action runs on a pull request whose spec is attacker-controlled — most importantly fork pull requests on public repositories — a $ref in that spec is fetched/read on the runner with no interaction required, enabling SSRF and disclosure of structured files on the runner. This issue has been patched in version 0.0.51.
📍 영향받는 시스템
oasdiff-action version < 0.0.51
⚔️ 공격 벡터
공격자가 제어하는 OpenAPI 명세 파일 내의 $ref를 이용한 SSRF 및 파일 노출 공격
🛡️ 대응 방법
oasdiff-action을 0.0.51 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 버전이 0.0.51 미만으로 표시되면 취약한 버전을 사용 중인 것입니다.
grep -r "uses: oasdiff/oasdiff-action@" . --include="*.yml" | grep -v "@0.0.51"