🇰🇷 한글 설명
githubtoplanguages 저장소의 GitHub Actions 워크플로우에서 이슈 제목을 쉘 변수에 직접 할당할 때 발생하는 명령 주입 취약점입니다. 공격자가 이슈 제목에 쉘 명령 치환 구문을 포함하면 GitHub Actions 러너에서 임의의 명령을 실행할 수 있습니다. 이를 통해 디스코드 웹훅 비밀번호를 탈취하거나 알림 내용을 조작할 수 있습니다.
💡 쉬운 설명
이슈 제목을 입력할 때 특수 기호를 섞어 쓰면, 컴퓨터가 이를 제목이 아닌 명령어로 착각하여 실행해버리는 문제입니다. 이를 통해 해커가 중요한 비밀번호를 훔치거나 가짜 알림을 보낼 수 있습니다.
🇺🇸 원문 (English)
githubtoplanguages generates a user's top GitHub languages as an SVG. The .github/workflows/discord-issue.yml workflow runs when an issue is opened or closed and interpolates github.event.issue.title directly into the Bash assignment for ISSUE_TITLE before shell parsing. An issue title containing shell command-substitution syntax can therefore execute commands on the GitHub Actions runner before the title is included in the Discord notification sent through DISCORD_WEBHOOK. Successful exploitation can manipulate or spoof trusted bot notifications and may expose the Discord webhook secret or other workflow environment data, depending on repository permissions. This issue is fixed by commit 6bf9c3a9cb66c937b9047ca266b3d02f2bb11027.
📍 영향받는 시스템
githubtoplanguages repository (workflow: .github/workflows/discord-issue.yml)
⚔️ 공격 벡터
GitHub 이슈 생성 시 제목에 쉘 명령 치환 구문(예: $(command))을 삽입하여 공격
🛡️ 대응 방법
커밋 6bf9c3a9cb66c937b9047ca266b3d02f2bb11027를 적용하여 입력값 처리 방식 수정
🔧 검증 코드
명령어 결과가 'FIXED'이면 패치가 적용된 상태이며, 'VULNERABLE'이면 취약한 상태입니다.
git rev-parse HEAD | grep -q 6bf9c3a9cb66c937b9047ca266b3d02f2bb11027 && echo 'FIXED' || echo 'VULNERABLE'