Xygeni GitHub Action 태그 포이즈닝으로 공급망 공격 신형화

GitHub Action Xygeni가 태그 포이즈닝 공격으로 오염되어 개발자 빌드 파이프라인의 보안 신뢰를 무너뜨립니다.

• Xygeni GitHub Action이 태그 포이즈닝 기법으로 해킹되어 악성 코드를 주입, 소프트웨어 빌드 과정에서 개발자 자격증명과 코드를 탈취하는 공급망 공격을 가능하게 합니다.
• 이 공격은 Rust 크레이트나 npm과 유사한 CI/CD 취약점을 노리며, 오픈소스 생태계의 태그 관리 약점이 글로벌 소프트웨어 보안의 약점으로 지적됩니다.
• ShinyHunters의 Crunchbase 사회공학 공격처럼 초기 접근 후 데이터 판매로 이어지는 패턴이 공급망 전체를 위협합니다.
• 미국 FCC와 WEF가 공급망 복잡성을 2026 최우선 리스크로 꼽은 가운데, 개발 도구의 무결성 검증이 표준화 과제로 부상합니다.
• 한국 개발 기업은 GitHub Action 감사와 SBOM 도입으로 공급망 투명성을 확보해야 합니다.

이번 포이즈닝은 오픈소스 공급망의 태그 보안 필요성을 강조한다. 단기적으로는 Action 재검토, 중장기적으로는 인증서 기반 무결성 검증 체계 구축이 요구된다.

출처: Dark Reading