0xNews - Homebrew 패키지 관리자에서 심각한 버그 발견

일본 보안 전문가 RyotaK 발표

공식 Homebrew Cask 저장소에서 최근 확인된 보안 취약점으로 인해 Homebrew 가 설치된 사용자 컴퓨터에서 임의 코드 실행을 통해 공격자가 악용할 수 있음을 확인

Github 저장소의 코드 변경이 처리 되는 방식에서 문제점 발견

결과적으로 악의적인 Pull Request 가 발생

자동적으로 검토되고 승인 처리 됨

해당 버그는 4월 18일 보고 후 4월 19일 수정 완료

Homebrew 에 대한 Github 정보 공개 내용 링크

Homebrew 는 리눅스 외 애플의 macOS 운영체제에서 소프트웨어를 설치할 수 있는 무료 오픈 소스 소프트웨어 패키지 관리자 솔루션

Homebrew Cask 는 GUI 기반 macOS 응용 프로그램, 글꼴, 플러그인과 기타 비 오픈소스 소프트웨어에 대한 CUI 워크플로우를 포함하도록 기능을 확장

이번에 발견된 버그는 공격자가 임의 코드를 Cask 에 인젝션하여 자동으로 병합할 수 있도록 함

검사를 위해 pull request 의 diff 를 파싱하는데 사용되는 review-cask-pr GitHub Action 의 git_diff 종속성에 있는 결합으로 인해 발생

이 결함으로 인해 파서는 잘못된 행을 완전히 무시하도록 스푸핑될 수 있음

악의적인 pull 요청을 성공적으로 승인

즉 이 결함은 Cask 저장소에 인젝션된 악성 코드가 검토나 승인 없이 병합되었음을 의미

버그를 입증하는 PoC Pull Request 에 대한 내용을 github 에 추가 공개

분석 결과 Homebrew는 automerge GitHub Action을 제거하고 모든 취약한 저장소에서 review-cask-pr GitHub Action 을 비활성화나 제거

봇이 homebrew / cask * 저장소에 커밋할 수 있는 기능이 제거

앞으로는 유지 관리자의 수동 검토나 승인이 필요한 모든 pull 요청이 필요

사용자 조치가 필요하지 않음

이번 버그가 악의적인 행위자에 의해 악용된 경우 되돌리기 전 brew 를 실행하는 시스템을 손상시키는데 사용될 수도 있음

openLab