🇰🇷 한글 설명
MaaAssistantArknights의 GitHub 워크플로우에서 풀 리퀘스트(PR) 제목을 검증 없이 셸 명령어로 실행하여 발생하는 취약점입니다. 공격자가 특정 문구로 시작하는 PR 제목을 작성하면 GitHub Actions 실행 환경에서 임의의 명령어를 실행할 수 있습니다.
💡 쉬운 설명
프로그램 업데이트를 준비하는 과정에서 사용자가 입력한 제목을 그대로 컴퓨터 명령어로 인식하는 문제가 있었습니다. 이를 통해 해커가 가짜 업데이트 요청을 보내 시스템을 조작할 수 있었습니다.
🇺🇸 원문 (English)
MaaAssistantArknights is a one-click tool for daily Arknights tasks. In the current dev-v2 workflow, .github/workflows/release-preparation.yml inlined attacker-controlled github.event.pull_request.title into a run: shell command during the pull_request opened, reopened, and ready_for_review events, so a non-draft fork PR whose title starts with Release v could execute shell commands on the ubuntu-latest runner during the generate-changelog job. This vulnerability is fixed by commit cafc3946059e6337d2089d4fec8b6885ba17c332.
📍 영향받는 시스템
MaaAssistantArknights (dev-v2 워크플로우를 사용하는 버전)
⚔️ 공격 벡터
특정 문구(Release v)로 시작하는 악의적인 제목을 가진 Pull Request를 생성하여 GitHub Actions 실행 유도
🛡️ 대응 방법
커밋 cafc3946059e6337d2089d4fec8b6885ba17c332가 적용된 최신 코드로 업데이트
🔧 검증 코드
명령어 실행 결과로 해당 커밋 해시값이 출력되면 취약점이 해결된 상태입니다.
git rev-parse HEAD | grep cafc3946059e6337d2089d4fec8b6885ba17c332