🇰🇷 한글 설명
Feast 0.65.0 미만 버전에서 GitHub Actions 워크플로우 설정 오류로 인해 발생합니다. 포크된 저장소의 기여자가 승인된 상태를 유지한 채 악성 코드를 푸시하면, 권한이 있는 환경에서 코드가 실행되어 GCP, AWS, Snowflake 등의 클라우드 자격 증명이 유출될 수 있습니다.
💡 쉬운 설명
외부 사람이 보낸 코드가 검토를 통과한 것처럼 속여서 시스템의 중요한 비밀번호를 훔쳐갈 수 있는 보안 허점입니다. 이로 인해 해커가 회사의 클라우드 서비스에 마음대로 접속할 위험이 있습니다.
🇺🇸 원문 (English)
Feast is the open source feature store for AI and machine learning. Prior to 0.65.0, .github/workflows/pr_integration_tests.yml uses pull_request_target with the synchronize event and preserves ok-to-test, approved, or lgtm labels across newly pushed commits, allowing a fork contributor to obtain approval for a benign revision and then run changed code from refs/pull/${{ github.event.pull_request.number }}/merge through privileged make targets. The job exposes GCP, AWS, and Snowflake credentials to that code, enabling runner code execution, credential disclosure, and possible access to downstream cloud resources. An external label-removal integration could mitigate the condition, but no repository workflow provided that protection. This issue is fixed in version 0.65.0.
📍 영향받는 시스템
Feast versions prior to 0.65.0
⚔️ 공격 벡터
GitHub Actions의 pull_request_target 이벤트와 라벨 유지 메커니즘을 악용한 코드 주입 공격
🛡️ 대응 방법
Feast를 0.65.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.65.0 미만이면 취약한 상태이며, 0.65.0 이상이면 안전합니다.
pip show feast | grep Version