🇰🇷 한글 설명
Salty 문서 저장소의 GitHub Actions 워크플로우에서 신뢰할 수 없는 포크(Fork) 커밋을 검증 없이 체크아웃하여 발생하는 취약점입니다. 공격자가 조작한 setup.py 또는 PEP 517 빌드 훅을 통해 권한이 있는 워크플로우 내에서 CF_API_TOKEN 및 GITHUB_TOKEN과 같은 민감한 비밀 정보를 탈취할 수 있습니다.
💡 쉬운 설명
외부 사람이 보낸 코드를 검사 없이 실행하는 과정에서, 나쁜 의도를 가진 코드가 포함되어 있으면 관리자의 중요한 비밀번호나 권한을 훔쳐갈 수 있는 문제입니다. 이로 인해 해커가 저장소의 권한을 완전히 장악할 위험이 있습니다.
🇺🇸 원문 (English)
The Salty documentation repository builds and deploys the docs.saltbox.dev website. Prior to commit 649c9aea2daef1168eeb0415b44e65dbbde9f220, .github/workflows/trigger-pr-build.yml records an untrusted fork commit in the pr_info artifact, and the secret-bearing workflow_run job in .github/workflows/build-pr.yml checks out that commit before running pip install -r requirements.txt. A fork pull request can therefore supply attacker-authored setup.py or PEP 517 build hooks whose installation code executes in the privileged base-repository workflow with CF_API_TOKEN, GH_TOKEN, MKDOCS_GIT_COMMITTERS_APIKEY, and a write-capable GITHUB_TOKEN, allowing secret disclosure and follow-on compromise. The vulnerability is not caused by the repository-fork guard, and the demonstrated path requires attacker control of fork content rather than merely the artifact metadata. This vulnerability is fixed with commit 649c9aea2daef1168eeb0415b44e65dbbde9f220.
📍 영향받는 시스템
Salty documentation repository (commit 649c9aea2daef1168eeb0415b44e65dbbde9f220 미만 버전)
⚔️ 공격 벡터
악의적인 setup.py 또는 빌드 훅이 포함된 포크 Pull Request를 생성하여 권한이 있는 워크플로우의 실행을 유도함
🛡️ 대응 방법
커밋 649c9aea2daef1168eeb0415b44e65dbbde9f220 이상으로 업데이트하여 신뢰할 수 없는 커밋 체크아웃 방지
🔧 검증 코드
명령어 결과가 'FIXED'이면 패치된 상태이며, 'VULNERABLE'이면 취약한 상태입니다.
git rev-parse HEAD | grep -q '649c9aea2daef1168eeb0415b44e65dbbde9f220' && echo 'FIXED' || echo 'VULNERABLE'