[CVE] CVE-2026-44359 (CVSS 10.0 · 심각) [CWE-94, CWE-829]

핵심 요약

Meshtastic 오픈 소스 메시 네트워킹 솔루션의 GitHub CI/CD 워크플로우에서 심각한 취약점(CVE-2026-44359, CVSS 10.0)이 발견되었습니다. 이 취약점은 `pull_request_target`에 의해 트리거되는 `main_matrix.yml` 워크플로우가 외부 사용자의 승인되지 않은 풀 리퀘스트를 통해 공격자가 제어하는 코드를 저장소 비밀 및 상승된 권한으로 실행할 수 있게 했습니다. 이는 CI/CD 파이프라인 내에서 적절한 승인 게이트 및 코드 검토 절차 부재로 인해 발생했으며, 공급망 침해(T1195.002) 및 저장소 탈취로 이어질 수 있는 심각한 소프트웨어·데이터 무결성 실패(A08:2021)를 야기합니다. IT 감사인은 개발 환경의 CI/CD 파이프라인 보안 통제, 특히 외부 기여 코드에 대한 검토 및 승인 절차의 적절성을 중점적으로 점검하여 잠재적인 공급망 공격 위험을 완화해야 합니다.

💡 개선 권고안

• ✔기술적 조치Meshtastic 버전 2.7.21.1370b23 이전 버전을 사용하는 경우, 해당 버전으로 즉시 업데이트하여 CVE-2026-44359 취약점에 대한 패치를 적용해야 함을 권고함.
• ✔기술적 조치GitHub Actions 등 CI/CD 워크플로우 설정 파일(예: `.github/workflows/*.yml`)을 검토하여 `pull_request_target` 이벤트 사용 시, 외부 기여자의 코드 실행을 방지하고 신뢰할 수 있는 소스에서만 코드가 실행되도록 `permissions` 및 `if` 조건을 엄격하게 설정할 것을 권고함.
• ✔기술적 조치CI/CD 파이프라인에서 사용되는 모든 저장소 비밀(Repository Secrets) 및 토큰(예: GITHUB_TOKEN)에 대해 최소 권한 원칙(Principle of Least Privilege)을 적용하고, 필요한 경우에만 제한된 범위의 권한을 부여하도록 설정할 것을 권고함.
• ✔관리적 조치모든 소스코드 저장소에 대해 브랜치 보호 규칙을 설정하고, 메인 브랜치로의 병합(Merge) 시 최소 1인 이상의 동료 검토(Peer Review) 및 승인 절차를 필수화하는 정책을 수립 및 시행할 것을 권고함.
• ✔관리적 조치외부 기여자(External Contributor)의 풀 리퀘스트에 대한 CI/CD 워크플로우 실행 정책을 재검토하고, 신뢰할 수 없는 소스에서 제출된 코드에 대해서는 자동화된 빌드 및 테스트를 제한하거나, 수동 승인 절차를 거치도록 강화할 것을 권고함.
• ✔관리적 조치CI/CD 파이프라인의 보안 취약점 점검 및 코드 정적/동적 분석 도구를 도입하여 개발 단계에서부터 잠재적인 보안 문제를 조기에 식별하고 해결하는 프로세스를 강화할 것을 권고함.
• ✔관리적 조치개발 및 보안 담당자를 대상으로 CI/CD 파이프라인 보안, 공급망 공격 위협 및 안전한 코드 개발 관행에 대한 정기적인 교육을 실시하여 보안 인식 및 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문