static-analysis2 [DevSecOps] zizmor로 GitHub Actions 워크플로 점검하기: 자동 수정 전후를 비교하는 리포트 만들기 2025년 3월, GitHub Actions에서 널리 쓰이던 tj-actions/changed-files가 공격자에게 장악되었습니다(CVE-2025-30066). 이 Action을 쓰던 워크플로는 실행될 때마다 CI에 등록된 시크릿을 워크플로 로그에 출력했습니다. 액세스 키, GitHub 개인 액세스 토큰, npm 토큰 같은 값이 공개 저장소의 로그에 그대로 남았고, 미국 CISA는 노출된 시크릿을 모두 유출된 것으로 보고 즉시 교체하라고 권고했습니다.피해를 키운 원인 중 하나는 많은 워크플로가 Action을 커밋이 아니라 태그로 참조하고 있었다는 점입니다. 태그는 언제든 다른 커밋을 가리키도록 옮길 수 있습니다. 공격자는 기존 버전 태그 여러 개를 악성 커밋으로 옮겼고, 그 태그를 쓰던 워크플로는 모두.. 2026. 9. 26. [Vulnerability] CWE-787 Out-of-Bounds Write: 메모리 경계 위반 취약점 CWE-787: Out-of-Bounds Write는 버퍼의 유효한 경계를 벗어나 데이터를 쓰는 취약점으로, C/C++ 계열 프로그램에서 자주 발생하며 메모리 손상(Memory Corruption), 프로그램 충돌(Crash), 원격 코드 실행(RCE)으로 이어질 수 있습니다. 이 취약점은 CWE Top 25에서 지속적으로 상위권을 유지하고 있으며, KEV(Known Exploited Vulnerabilities) 목록에 18개의 CVE가 등재되어 실제 공격에 활발히 악용되고 있습니다.목차CWE-787 개요와 현황취약점 발생 메커니즘과 유형실제 공격 사례와 CVE 분석탐지 및 분석 방법론완화 전략과 방어 기법개발 생명주기 통합 방안결론 및 실무 가이드CWE-787 개요와 현황정의와 핵심 특징CWE-787.. 2025. 11. 2. 이전 1 다음
