CVE-2024-47179

요약

RSSHub는 RSS 네트워크입니다. 커밋 64e00e7 이전에, RSSHub의 `docker-test-cont.yml` 워크플로우는 Artifact Poisoning에 취약하여 전체 저장소 탈취로 이어질 수 있었습니다. RSSHub의 다운스트림 사용자는 이 문제에 취약하지 않으며, 커밋 64e00e7이 근본적인 문제를 수정하여 저장소가 더 이상 취약하지 않게 되었습니다. `docker-test-cont.yml` 워크플로우는 `PR - Docker build test` 워크플로우가 성공적으로 완료되면 트리거됩니다. 그런 다음 트리거링 워크플로우를 발생시킨 Pull Request에 대한 일부 정보를 수집하고 PR 본문과 발신자에 따라 일부 레이블을 설정합니다. PR에 `routes` 마크다운 블록도 포함되어 있으면 `TEST_CONTINUE` 환경 변수를 `true`로 설정합니다. 그런 다음 워크플로우는 트리거링 워크플로우가 업로드한 아티팩트를 다운로드하여 추출하며, 여기에는 단일 `rsshub.tar.zst` 파일이 포함될 것으로 예상됩니다. 그러나 커밋 64e00e7 이전에는 검증이 이루어지지 않았고 내용이 워크스페이스 루트에 추출되어 기존 파일을 덮어썼습니다. 아티팩트의 내용이 검증되지 않았기 때문에, 악의적인 행위자가 `rsshub.tar.zst` 압축 도커 이미지뿐만 아니라 권한 있는 워크플로우의 컨텍스트에서 임의 코드를 실행하는 스크립트가 포함된 악성 `package.json` 파일도 업로드하는 Pull Request를 보낼 수 있었습니다. 커밋 64e00e7부터 이 시나리오는 해결되었으며 RSSHub 저장소는 더 이상 취약하지 않습니다.

• gha-lab-d9fd584b12연구

  # CVE-2024-47179 (GHSL-2024-178) 재현을 위한 공인 보안 연구 랩: RSSHub docker-test 워크플로우의 아티팩트 오염 pwn-request 체인(574d053 스냅샷)