연구원, "심각도가 높은" GitHub 취약점 발견

Checkmarx 공급망 보안 팀의 연구원들이 GitHub에서 "심각도가 높은" 취약점을 발견했습니다. 공격자는 리포지토리 재킹이라는 기술을 사용하여 이름이 변경된 사용자를 공격에 취약하게 만드는 아키텍처의 논리적 "숨겨진" 결함을 악용하여 GitHub 리포지토리를 제어할 수 있습니다.

Go의 10,000개 이상의 패키지를 포함한 모든 사용자 이름과 GitHub의 Swift 및 Packagist 패키지 관리자가 이 버그에 취약합니다.

리포지토리 재킹은 공격자가 원본 전달을 중단시키는 논리적 버그를 악용하여 리포지토리 URL 트래픽을 가로채 공격자의 리포지토리로 몰래 전송할 수 있는 기법입니다.

취약한 메커니즘은 "인기 리포지토리 네임스페이스 은퇴"로 식별됩니다. 원래 GitHub 리포지토리에는 리포지토리를 만든 사용자 계정 아래에 중첩되는 고유 URL이 있습니다. 누군가 오픈 소스 리포지토리를 다운로드(복제)하려고 할 때마다 전체 리포지토리 URL을 사용하게 됩니다.

GitHub는 사용자 이름과 연결되어 있으므로 이름 변경을 지원하며 이전 리포지토리의 URL에 대한 트래픽이 새 리포지토리로 리디렉션된다는 경고를 표시합니다.

경고를 수락하고 사용자 이름이 변경되면 GitHub는 자동으로 이전 리포지토리의 URL에서 새 URL로 리디렉션 규칙을 설정하여 사용자 이름 변경 사실을 모르는 사용자도 계속 작업을 진행할 수 있도록 도와줍니다.

따라서 이전 사용자 이름을 등록할 수 있는 한, 리포지토리를 만든 사람이 사용자 이름을 바꾸기로 결정하면 리포지토리 재킹에 취약합니다. 이 결함으로 인해 공격자는 기존 사용자가 사용한 이전 리포지토리 URL과 동일한 조합을 사용하여 새 GitHub 계정을 만들 수 있습니다.

공격자가 위의 단계를 수행하면 기본 리디렉션이 비활성화되고 기존의 모든 트래픽이 즉시 공격자의 악의적인 GitHub 리포지토리로 리디렉션됩니다.

이미 리포지토리 재킹 기법을 사용하는 공격자에 대한 보고가 있었습니다. 이는 위험 요소이기는 하지만, 해커들이 신뢰할 수 있는 오픈 소스 패키지를 가장 간단하게 사용하여 최대의 효과를 낼 수 있는 방법을 찾기 위해 계속 진화하고 있다는 것을 보여줍니다.

이 버그를 수정하고 악의적인 행동을 방지하기 위해 GitHub는 '인기 리포지토리 네임스페이스 은퇴' 보호 기능을 도입했는데, 이는 클론이 100개 이상인 리포지토리는 사용자 계정 이름을 변경할 때 '은퇴'한 것으로 간주하여 다른 사람이 사용할 수 없도록 하는 것입니다.

이 글의 출처는 SCMedia의 기사입니다.

사이버 보안에 관한 최신 뉴스를 확인할 수 있는 유튜브 채널(https://bit.ly/3EtJstl)에서 이 뉴스를 확인하세요.

요약

기사 이름

연구원, "심각도가 높은" GitHub 취약점 발견

설명

Checkmarx 공급망 보안 팀의 연구원들이 GitHub에서 "심각도가 높은" 취약점을 발견했습니다. 여기에서 자세히 알아보기

작성자

오반라 오페예미

게시자 이름

턱시도 케어

게시자 로고