DevSecOps1 [DevSecOps] zizmor로 GitHub Actions 워크플로 점검하기: 자동 수정 전후를 비교하는 리포트 만들기 2025년 3월, GitHub Actions에서 널리 쓰이던 tj-actions/changed-files가 공격자에게 장악되었습니다(CVE-2025-30066). 이 Action을 쓰던 워크플로는 실행될 때마다 CI에 등록된 시크릿을 워크플로 로그에 출력했습니다. 액세스 키, GitHub 개인 액세스 토큰, npm 토큰 같은 값이 공개 저장소의 로그에 그대로 남았고, 미국 CISA는 노출된 시크릿을 모두 유출된 것으로 보고 즉시 교체하라고 권고했습니다.피해를 키운 원인 중 하나는 많은 워크플로가 Action을 커밋이 아니라 태그로 참조하고 있었다는 점입니다. 태그는 언제든 다른 커밋을 가리키도록 옮길 수 있습니다. 공격자는 기존 버전 태그 여러 개를 악성 커밋으로 옮겼고, 그 태그를 쓰던 워크플로는 모두.. 2026. 9. 26. 이전 1 다음
