🇰🇷 한글 설명
quay-builder-qemu의 릴리스 워크플로우에서 사용되는 'Noelware/docker-manifest-action'이 변경 가능한 브랜치에 고정되어 있어 발생하는 취약점입니다. 공격자는 이를 통해 임의 코드를 주입하여 민감한 레지스트리 자격 증명을 탈취하거나 악성 이미지를 배포할 수 있으며, 기본 GitHub 토큰 노출로 인해 피해가 확산될 수 있습니다.
💡 쉬운 설명
소프트웨어를 만드는 자동화 과정에서 외부 도구를 가져올 때, 고정된 버전이 아닌 계속 변할 수 있는 경로를 사용하고 있습니다. 해커가 이 경로를 가로채면 프로그램 제작 과정에 몰래 나쁜 코드를 끼워 넣어 중요한 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in quay-builder-qemu. A remote attacker could exploit this by compromising the upstream `Noelware/docker-manifest-action` used in the release workflow, which is pinned to a mutable branch. This allows the attacker to inject arbitrary code, leading to the exfiltration of sensitive registry credentials or the publication of malicious images. The workflow also exposes the default GitHub token, increasing the severity of the compromise.
📍 영향받는 시스템
quay-builder-qemu (Noelware/docker-manifest-action을 사용하는 워크플로우 포함)
⚔️ 공격 벡터
업스트림 액션의 가변 브랜치를 이용한 공급망 공격 (Supply Chain Attack)
🛡️ 대응 방법
Noelware/docker-manifest-action을 특정 커밋 SHA(Immutable Hash)로 고정하여 사용하십시오.
🔧 검증 코드
출력 결과에서 '@' 뒤에 브랜치명(예: main)이 아닌 특정 커밋 해시값이 아닌 경우 취약한 상태입니다.
grep -r 'uses: Noelware/docker-manifest-action@' .github/workflows/