CVE-2021-32724

요약

check-spelling은 CI 맞춤법 검사를 제공하는 github action입니다. 영향을 받는 버전에서, [check-spelling action](https://github.com/marketplace/actions/check-spelling)이 활성화되어 `pull_request_target`(또는 `schedule`)에서 트리거되는 저장소의 경우, 공격자는 조작된 Pull Request를 보내 `GITHUB_TOKEN`이 노출되도록 할 수 있습니다. `GITHUB_TOKEN`을 사용하면 표준 승인 프로세스를 우회하여 저장소에 커밋을 푸시할 수 있습니다. 저장소에 대한 커밋은 저장소에서 사용 가능한 모든 비밀을 훔칠 수 있습니다. 해결 방법으로 사용자는 다음 중 하나를 수행할 수 있습니다: 모든 브랜치를 수정할 때까지 [워크플로 비활성화](https://docs.github.com/en/actions/managing-workflow-runs/disabling-and-enabling-a-workflow)하거나 저장소를 [특정 작업 허용](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#allowing-specific-actions-to-run)으로 설정하세요. check-spelling은 검증된 제작자가 아니며 곧 검증될 가능성도 없습니다. 그런 다음 저장소에서 사용하는 다른 작업을 명시적으로 추가할 수 있습니다. 저장소 [워크플로 권한](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#setting-the-permissions-of-the-github_token-for-your-repository)을 `Read repository contents permission`으로 설정하세요. `check-spelling/check-spelling@main`을 사용하는 워크플로는 자동으로 수정 사항을 받게 됩니다. 고정된 sha 또는 태그 버전을 사용하는 워크플로는 모든 저장소 브랜치의 영향을 받는 워크플로를 최신 버전으로 변경해야 합니다. 사용자는 저장소의 Actions 탭에서 spelling.yml 작업을 조회하여 누가 어떤 Pull Request에서 작업을 실행했는지 확인할 수 있습니다(예: https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml). `?query=event%3Apull_request_target`을 추가하여 PR을 필터링할 수 있습니다(예: https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml?query=event%3Apull_request_target).

• CVE-2021-32724-TargetPoC

  # 의도적으로 취약하게 구성된 GitHub 저장소 CVE-2021-32724로 구성된 의도적 취약 GitHub 저장소로, 통제된 환경에서 Check Spelling Workflow 악용을 연습하기 위한 것입니다.