GitHub, 단일 푸시로 서버 RCE? 워크플로우 보안 점검 필수!
by DD
2개월 전
조회수 0
GitHub의 git proxy인 babeld에서 발생하는 RCE 취약점(CVE-2026-3854)이 발견되었으며, GitHub.com은 패치 완료.
GitHub Actions 워크플로우(Workflows)에서 사용자 입력값에 대한 적절한 검증 부재로 인한 스크립트 주입(Script Injection) 취약점이 존재함.
저자는 GitHub Actions 워크플로우를 감사하여 취약한 코드 패턴(Vulnerable Code Pattern)을 발견하고, 환경 변수 사용 및 적절한 인용구(Quoting)를 통해 해결함.
워크플로우 상속 문제(Workflow Inheritance Problem)를 핵심 원인으로 지적하며, 근본적인 해결책 마련을 촉구함.
CVE-2026-3854: GitHub의 git proxy babeld 취약점 분석
CVE-2026-3854는 GitHub의 내부 git proxy인 babeld에서 발생한 취약점으로, 사용자 제공 푸시 옵션(Push Options)을 적절히 검증하지 않아 발생한다. 기술적으로 보면, 악의적인 푸시 옵션을 통해 RCE(Remote Code Execution)가 가능하며, 멀티 테넌트(Multi-tenant) 환경에서 데이터 격리(Data Isolation)를 침해할 수 있다. GitHub는 해당 취약점을 패치했지만, GHES(GitHub Enterprise Server) 사용자는 최신 버전으로 업그레이드해야 한다.
GitHub Actions 워크플로우(Workflows)의 스크립트 주입(Script Injection) 취약점
저자는 GitHub Actions 워크플로우에서 사용자 입력값(Pull Request Body, Branch Name 등)을 검증 없이 쉘 스크립트에 삽입하는 경우, 스크립트 주입(Script Injection) 취약점이 발생할 수 있다고 지적한다. 특히, `run:` 블록 내에서 `${{ ... }}` 표현식을 사용하여 외부 입력을 직접 사용하는 경우 취약하다. 실제 사례로는, 악의적인 PR 본문을 통해 가 가능하며, 이는 을 우회하는 결과를 초래할 수 있다.
