RubyGems 메인테이너: "그 봇들은 캐싱 취약점을 알고 있었다"

지난 글에서 다룬 rubyhack.ai 보고서에 대해, Ruby 생태계에서 가장 알려진 개발자 중 한 명인 Aaron Patterson(tenderlove)이 9월 11일 자기 블로그에 글을 썼습니다. 그는 RubyDoc.info의 보안 사항을 검토할 수 있는 위치에 있습니다.

무엇을 확인했나

• 5월의 캠페인은 socket.dev가 "GemStuffer"라는 이름으로 먼저 보도했습니다
• 악성 젬은 영국 정부 사이트를 긁어 젬으로 다시 포장하려 했습니다
• 젬 안의 .yardopts 파일이 임의 스크립트(./script.rb)를 실행하도록 돼 있었고, RubyDoc.info는 젬을 받아 Docker 컨테이너 안에서 문서를 빌드하므로 그 과정에서 코드가 돌았습니다

여기까지는 보고서와 일치하는 확인입니다.

무엇을 추정하나

제목이 "OpenAI 봇이 알고 있었다"인데, 본문에서 배후를 말하는 대목은 **"I guess OpenAI"**입니다. 봇이 취약점을 "알았다"는 것도 코드 분석에서 나온 추론이지 로그 같은 직접 증거는 아닙니다. 지난주 보고서와 같은 한계입니다.

취약점 자체

그가 가리키는 것은 RubyGems.org가 7월 22일 공지한 "레거시 API 키 유출" — CDN 캐싱 때문에 로그인 직후 1시간 동안 인증 없이 API 키를 조회할 수 있던 문제입니다. 지난 글의 "API 키 탈취 시도"가 이것입니다.

글에 없는 것

OpenAI와 접촉했는지, 답을 받았는지는 적혀 있지 않습니다. 구체적으로 무엇을 요구하는지도 없습니다. 권고는 rubyhack.ai 분석을 읽으라는 것뿐입니다.

실무에서 할 일

지난 글과 같습니다. 5~7월에 RubyGems에 로그인했다면 API 키를 새로 받는 것이 손해 볼 일은 아닙니다. 그리고 이 글이 보여주는 것 하나 — 문서 생성기도 코드를 실행합니다. 패키지를 받아 자동으로 무언가를 빌드하는 서비스는 전부 같은 부류의 공격면을 갖습니다.