GitHub Actions 보안 강화: ‘pull_request_target’ 공격 차단

전문가 통찰 및 한줄평

GitHub Actions의 이번 보안 강화는 소프트웨어 공급망 공격의 흔한 경로를 하나 차단하는 중요한 조치입니다.

국내 개발 생태계 역시 이러한 위협에 노출될 가능성이 크므로, 개발자 및 보안 담당자는 변화된 정책을 숙지하고 적극적으로 대응해야 합니다.

소프트웨어 개발 과정에서 보안은 선택이 아닌 필수입니다.

특히 오픈소스 생태계와 CI/CD 파이프라인의 의존도가 높은 요즘, 작은 보안 허점 하나가 전체 시스템을 위협할 수 있습니다.

GitHub가 최근 actions/checkout 액션을 업데이트하여 pull_request_target 워크플로우 트리거를 악용한 공격 패턴을 차단하기로 한 결정은 이러한 맥락에서 매우 시의적절합니다.

GitHub Actions, ‘pull_request_target’ 공격 차단 나선 이유

이번 업데이트의 핵심은 pull_request_target 워크플로우 트리거와 actions/checkout 액션의 조합에서 발생하는 보안 취약점을 겨냥한 것입니다.

pull_request_target은 풀 리퀘스트(PR)가 열리거나 업데이트될 때 자동으로 실행되며, 중요한 점은 기본 리포지토리의 컨텍스트에서 실행된다는 것입니다. 이는 해당 워크플로우가 기본 리포지토리의 비밀 정보(secrets)와 GITHUB_TOKEN에 대한 읽기/쓰기 권한을 모두 가질 수 있음을 의미합니다.

이러한 강력한 권한은 악의적인 공격자에게 매력적인 표적이 됩니다.

공격자는 취약한 pull_request_target 워크플로우를 악용하여, 자신이 제출한 PR의 코드를 워크플로우 실행 환경에 다운로드하고 실행시키도록 유도할 수 있습니다.

만약 공격자가 악성 스크립트를 PR에 포함시켰다면, 이 스크립트는 높은 권한을 가진 GITHUB_TOKEN을 탈취하거나, 민감한 비밀 정보를 빼내어 결국 ‘pwn request attack’으로 이어질 수 있습니다.

이는 소프트웨어 공급망 전반에 심각한 위협을 초래하는 ‘s1ngularity’ 캠페인이나 PostHog, TanStack 등의 실제 공격 사례에서 그 위험성이 입증되었습니다.

GitHub는 이러한 공격 패턴을 막기 위해 actions/checkout v7 버전부터 외부 포크(fork)에서 제출된 PR의 코드를 pull_request_target 및 workflow_run 워크플로우에서 자동으로 가져오는 것을 거부하도록 변경했습니다.

이는 allow-unsafe-pr-checkout: true 플래그를 명시적으로 설정하지 않는 이상, 기본적으로 안전한 방식으로 작동하게 됩니다.

오는 7월 16일에는 지원되는 주요 버전에도 이 변경 사항이 백포팅될 예정입니다.

위험 시나리오 및 대비책

이번 업데이트는 특히 외부에서 제출된 PR, 즉 ‘포크’된 리포지토리의 코드를 신뢰할 수 없는 상태로 워크플로우에서 실행하는 상황을 차단하는 데 초점을 맞추고 있습니다.

이전에는 공격자가 악의적인 코드를 포함한 PR을 보내면, pull_request_target 워크플로우가 이를 그대로 체크아웃하여 실행했고, 그 결과 공격자가 기본 리포지토리의 모든 권한을 얻는 최악의 시나리오가 발생 가능했습니다.

GitHub는 이번 업데이트가 actions/checkout을 통한 체크아웃에만 적용된다는 점을 명확히 했습니다.

즉, Git CLI나 GitHub CLI를 통해 직접 체크아웃하거나, pull_request_target 외의 다른 이벤트(예: issue_comment)로 트리거되는 워크플로우에서의 위험은 여전히 존재합니다.

또한, 관련 없는 제3자 리포지토리를 repository 옵션으로 지정하여 체크아웃하는 경우 역시 차단 대상이 아닙니다. 따라서 개발자는 여전히 신뢰할 수 없는 출처의 코드를 실행하는 것에 대한 근본적인 경계심을 늦춰서는 안 됩니다.

개발자는 pull_request_target 사용 시 다음과 같은 조치를 취하는 것이 좋습니다.

• 사용 필요성 재평가: pull_request_target이 반드시 필요한지 면밀히 검토합니다.
• pull_request 트리거 활용: 워크플로우가 높은 권한이나 비밀 정보 접근을 요구하지 않는다면, pull_request 트리거로 전환하는 것을 고려합니다.
• 권한 최소화: 워크플로우에 부여되는 권한을 최소한으로 제한합니다.
• 입력값 검증: 사용자 제어 입력이 신뢰할 수 없는 코드를 실행시키지 않도록 철저히 검증합니다.

경쟁 기술 및 솔루션 비교

위 표에서 볼 수 있듯이, GitHub Actions는 이번 업데이트를 통해 pull_request_target 공격에 대한 기본적인 방어 체계를 마련했습니다.

다른 CI/CD 도구들도 각자의 방식으로 PR 보안을 강화하고 있지만, GitHub Actions의 통합성과 변화는 많은 개발팀에게 직접적인 영향을 미칠 것입니다.

시장 파급 효과 및 향후 전망

이번 GitHub Actions의 보안 강화 조치는 소프트웨어 공급망 보안이라는 거대한 흐름 속에서 매우 중요한 이정표가 될 것입니다.

많은 기업들이 CI/CD 파이프라인을 통해 외부 오픈소스를 활용하고, 코드 변경 사항을 PR로 통합하는 방식을 사용하기 때문에, pull_request_target과 같은 트리거의 보안은 곧 기업의 핵심 자산 보호와 직결됩니다.

이번 변화는 유사한 보안 모델을 가진 다른 플랫폼에도 영향을 미쳐, 전체 개발 생태계의 보안 수준을 한 단계 끌어올리는 촉매제가 될 수 있습니다.

궁극적으로 이번 조치는 개발팀이 더 안전하고 신뢰할 수 있는 코드를 구축하는 데 집중할 수 있도록 지원하며, 소프트웨어 공급망 공격으로 인한 잠재적 피해를 줄이는 데 기여할 것입니다.

앞으로는 이러한 기본 보안 기능 외에도, 정적 분석 도구(SAST), 동적 분석 도구(DAST), 취약점 스캔 도구 등 다양한 보안 솔루션과의 연동이 더욱 중요해질 것으로 예상됩니다.

한국 시장에서의 시사점

이번 GitHub Actions의 보안 업데이트는 국내 개발 생태계에도 상당한 시사점을 던집니다.

국내 IT 기업들은 물론, 많은 스타트업들이 GitHub를 활용하여 개발 및 배포를 진행하고 있으며, 오픈소스 라이브러리에 대한 의존도 또한 높습니다.

따라서 pull_request_target 관련 공격 패턴은 국내 개발팀 역시 충분히 경험할 수 있는 위협입니다.

실제로 필자가 만난 여러 국내 스타트업의 개발팀장들은 최근 오픈소스 라이브러리에서 발견되는 보안 취약점이나 공급망 공격에 대한 우려를 표하며, CI/CD 파이프라인의 보안 강화 방안을 적극적으로 모색하고 있었습니다. 이번 GitHub의 조치는 이러한 업계의 요구와 맞물려, 국내 개발 환경에서의 보안 인식 제고와 실질적인 보안 조치 도입을 가속화할 것으로 보입니다.

국내 개발팀이 취할 수 있는 구체적인 대응 방안은 다음과 같습니다.

• allow-unsafe-pr-checkout 설정 점검: 현재 사용 중인 GitHub Actions 워크플로우에서 actions/checkout 액션을 사용하는 경우, allow-unsafe-pr-checkout 옵션이 true로 설정되어 있는지 반드시 확인하고, 불필요하다면 제거하거나 false로 유지해야 합니다.
• pull_request_target 사용 최소화 및 대안 모색: 불가피한 경우가 아니라면 pull_request_target 대신 pull_request 트리거를 사용하도록 워크플로우를 재설계합니다. 만약 pull_request_target의 높은 권한이 꼭 필요한 경우라면, 해당 워크플로우에서 실행되는 스크립트나 로직이 외부 입력에 얼마나 취약한지 면밀히 감사(audit)해야 합니다.
• 보안 교육 및 인식 제고: 개발자들을 대상으로 이번 업데이트의 중요성과 pull_request_target 트리거의 잠재적 위험성에 대한 교육을 강화하여, 코드 리뷰 및 PR 제출 시 보안적 측면을 더욱 중요하게 고려하도록 유도해야 합니다.

이러한 조치들은 단순한 기술적 변경 사항을 넘어, 우리나라 IT 산업 전반의 소프트웨어 공급망 보안 수준을 한 단계 높이는 데 기여할 것입니다.

특히, 보안 사고 발생 시 막대한 경제적 손실과 기업 이미지 실추로 이어질 수 있다는 점을 고려할 때, 선제적인 대응은 필수적입니다.

결론

GitHub Actions의 actions/checkout 업데이트는 pull_request_target 워크플로우 트리거를 악용한 공격을 효과적으로 차단하는 중요한 보안 강화 조치입니다.

이는 개발자들이 더욱 안전한 소프트웨어 공급망을 구축하는 데 기여하며, 궁극적으로는 소프트웨어의 신뢰도를 높이는 데 중요한 역할을 할 것입니다.

국내 개발자 및 기업들은 이번 변화를 인지하고, 각자의 워크플로우에 대한 보안 점검을 철저히 수행하며, 보다 안전한 개발 관행을 정착시켜 나가야 합니다.

자주 묻는 질문 (FAQ)

Q: pull_request_target 공격이란 정확히 무엇인가요?

A: pull_request_target 워크플로우 트리거는 기본 리포지토리의 컨텍스트에서 실행되어 높은 권한을 가지는데, 공격자는 외부에서 제출한 악성 PR 코드를 이 컨텍스트에서 실행시켜 민감한 정보(secrets, GITHUB_TOKEN 등)를 탈취하는 방식으로 공격합니다.

Q: actions/checkout v7 업데이트로 어떤 점이 달라지나요?

A: v7 버전부터는 기본적으로 외부 포크에서 제출된 PR의 코드를 pull_request_target 워크플로우에서 자동으로 체크아웃하는 것을 거부합니다.

이를 통해 악의적인 코드 실행으로 인한 공격 위험을 크게 줄입니다.

Q: 이번 업데이트가 한국 개발자에게 어떤 영향을 미치나요?

A: GitHub Actions를 사용하는 국내 개발자들은 pull_request_target 관련 공격 위험에 대해 이전보다 안전하게 작업할 수 있게 됩니다.

다만, allow-unsafe-pr-checkout 설정 등을 점검하고, pull_request 트리거 등 대안을 고려하는 노력이 필요합니다.

Q: allow-unsafe-pr-checkout: true 설정을 반드시 제거해야 하나요?

A: 반드시 제거해야 하는 것은 아니지만, 해당 설정이 꼭 필요한 경우가 아니라면 제거하거나 false로 유지하는 것이 보안상 권장됩니다.

이 설정을 사용하면 외부 포크 PR의 코드 체크아웃을 허용하게 되므로, 공격에 노출될 위험이 높아집니다.

추천 서비스

애드팟

애드팟 캠페인에 참여하여 혜택을 받아보세요! 상세 내용은 링크를 통해 확인 가능합니다.

바른비교,바른이사, 서경석의 이사방

애드팟 캠페인에 참여하여 혜택을 받아보세요! 상세 내용은 링크를 통해 확인 가능합니다.