[CVE] CVE-2026-34042 (CVSS 8.2 · 높음) [CWE-862]

핵심 요약

GitHub 액션 로컬 실행 도구인 `act`의 내장 캐시 서버에서 CVE-2026-34042(CVSS 8.2) 취약점이 발견되었습니다. 이 취약점은 `act` 버전 0.2.86 이전에서 `actions/cache` 서버가 모든 인터페이스에서 연결을 수신하여, 공격자가 임의의 캐시를 생성하고 기존 캐시를 검색할 수 있게 합니다. 공격자는 예측 가능한 캐시 키를 악용하여 악성 캐시를 주입하고 도커 컨테이너 내에서 임의 원격 코드 실행(RCE)을 달성할 수 있으며, 이는 MITRE ATT&CK의 T1190(Exploit Public-Facing Application) 및 T1609(Container Administration Command) 전술과 관련됩니다. IT 감사인은 CI/CD 파이프라인에서 사용되는 서드파티 도구의 보안 취약점 관리 현황과 컨테이너 환경의 보안 설정 적정성을 면밀히 점검하여 잠재적인 서비스 중단 및 데이터 유출 리스크를 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치`act` 도구를 최신 보안 패치가 적용된 버전 0.2.86 이상으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치CI/CD 환경 내 `act`의 `actions/cache` 서버를 포함한 모든 개발 및 운영 도구에 대해 네트워크 접근 제어를 강화하고, 불필요한 외부 노출을 차단하기 위한 엄격한 방화벽 정책 및 네트워크 세그멘테이션을 적용해야 함을 권고함.
• ✔기술적 조치도커 컨테이너 환경에 대한 보안 설정을 강화하고, 최소 권한 원칙을 적용하며, 컨테이너 이미지의 정기적인 취약점 스캐닝 및 보안 업데이트를 수행할 것을 권고함.
• ✔관리적 조치서드파티 라이브러리 및 오픈소스 도구를 포함한 모든 소프트웨어 자산에 대한 취약점 관리 정책 및 절차를 수립하고, CVE 등 공개된 취약점에 대한 상시 모니터링 및 신속한 패치 적용 프로세스를 강화할 것을 권고함.
• ✔관리적 조치CI/CD 파이프라인 전반에 걸쳐 보안 취약점 점검을 정기적으로 수행하고, 발견된 취약점에 대한 개선 활동을 추적 관리하는 체계를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문