SourceHut 빌드 로그 XSS로 계정 탈취, ansi2html의 OSC 8 링크 처리가 발단

업스트림 파이썬 프로젝트 패치까지 올린 건 진짜 잘한 일임. 타임라인에 뭐 창피해할 필요 없다.

조율된 공개 일정 같은 걸 제대로 못 한 게 좀 아쉽다. SourceHut 보안 메일링리스트에 처음 보냈을 때 취약점 존재가 업스트림 알기도 전에 공개돼 버렸거든.

SourceHut 좋아하는데 대체할 만한 게 딱히 없다. 근데 소규모 독립 프로젝트는 프로젝트 이력이랑 공격 노출 정도를 같이 봐야 하는 거 아닌가 싶음.

OSC 8 또 터졌네. 내 ansi2html 만들 때는 C0/C1이랑 APC, DCS, OSC, PM 시퀀스를 전부 싹 제거했었다.

OSC 8 하이퍼링크가 표 같은 압축 출력에는 진짜 유용한데 말이지.

빌드 로그는 공격 면으로 진짜 다루기 어렵다. 유용한 포맷 안 부수고 임의 출력을 정화하는 건 사실상 불가능하고 안전하지 않은 입력 전제로 가야 해.

계정도 없는 상황에서 공개 메일링리스트에 악성 패치만 보내면 터지는 거라니 심각한 수준이다.

글 잘 썼다. SourceHut이랑 Drew가 이걸로 보상 제대로 해줬으면 좋겠는데.

나는 돈 없으면 구두 크레딧만으로도 괜찮다고 해서 안 받으면 졸라대진 않을 생각임. 더 찾으면 그때 얘기하지.

deploy 키까지 딸 수 있다는 부분이 가장 의외였다. PKGBUILD에 임의 명령 들어갈 수 있는 잡 도중에 자격증명이 아예 없게 잠그는 게 얼마나 중요한지 다시 느낌.

좀 오해한 것 같은데, 소스코드가 SourceHut에 호스팅돼 있고 CI/CD가 알파인 패키지를 만들어 mirror.sr.ht에 자동 업로드하는 구조야. 문제는 *.sr.ht 배포 키가 프로덕션에서 doas apk upgrade -Ua랑 doas rc-service 재시작 권한을 갖는 거라서 빌드가 키를 잡으면 연속 침해로 이어질 수 있다는 점이지.