Sourcehut 계정 탈취 취약점 발견…빌드 로그 XSS(ansi2html) 악용

AI 요약

연구자가 SourceHut(sr.ht) 인스턴스를 직접 구축하던 중 빌드 로그 페이지에서 ansi2html 변환 로직의 취약점을 발견했다. ANSI 이스케이프 코드를 HTML로 변환하는 과정에서 XSS가 가능해 계정 탈취로 이어질 수 있는 심각한 보안 결함이었다. 연구자는 해당 저장소가 1년 이상 방치된 상태임을 확인하고 직접 패치 작업에 나섰다. SourceHut은 meta, git, hub, builds, mirror 등 여러 마이크로서비스로 구성된 구조다.

핵심 포인트

• SourceHut 빌드 로그의 ansi2html 변환 로직에서 XSS 취약점 발견, 계정 탈취로 이어질 수 있음
• 빌드 로그 페이지 소스 확인 중 반복되는 .ansi38-150150150 CSS 규칙에서 이상 징후 발견
• 해당 저장소는 1년 이상 활동이 없어 연구자가 직접 패치 작업 진행
• SourceHut은 meta.sr.ht, git.sr.ht, hub.sr.ht, builds.sr.ht, mirror.sr.ht 등 마이크로서비스 구조

향후 전망

• ansi2html 라이브러리를 사용하는 다른 CI/CD 시스템에서도 유사 취약점 존재 가능성
• 오픈소스 프로젝트의 유지보수 공백이 보안 리스크로 이어지는 사례 증가 예상