GitHub 원격 코드 실행 취약점: CVE-2026-3854 분석

Context

GitHub Enterprise Server(GHES)의 내부 인증 서비스가 보안 헤더를 구성하는 과정에서 사용자 입력값을 검증 없이 포함한 설계적 결함 발생. 특히 babeld가 push 요청을 전달할 때 X-Stat 헤더에 사용자 정의 push options를 그대로 삽입하며 입력값 제어권이 공격자에게 노출된 구조임.

Technical Solution

• git push -o 명령어를 통해 유입되는 임의 문자열을 X-Stat 헤더 값으로 설정하는 메커니즘 적용
• 헤더 내 필드 구분자인 세미콜론(;)에 대한 Sanitize 처리 누락으로 인한 필드 탈출(Field Escape) 발생
• 구분자 주입을 통한 신규 필드 생성을 통해 내부 시스템의 Command Injection 유도 및 RCE 달성
• LLM 에이전트를 활용한 리버싱 가속화로 복잡한 C++ 내부 메커니즘의 빠른 분석 및 취약점 식별
• 데이터와 명령어를 엄격히 분리하지 않은 설계적 과오를 통한 공격 경로 확보