Repository navigation
security(build): Security 탭 미해결 48건 중 실제 잔여 4건 — okio 2.8.0 앱 클래스패스 오염·httpclient/logback 빌드 도구 취약·워크플로 permissions 누락 #1072
Description
📜 Overview (Required)
Security 탭의 미해결 48건(코드 스캐닝 3 + Dependabot 45)을 전수 분류한 결과, 아직 아무 PR·이슈도 다루지 않는 실제 미해결분이 4건 남는다. 나머지는 이미 진행 중이거나(#1058 netty 39건) 올릴 패치가 베타뿐이라(#986 KGP 1건) 이번 범위 밖이다.
경로 표시가 전부 settings.gradle.kts 로 뭉개져 있어 전 프로젝트·전 resolvable configuration 전수 리졸브로 출처를 실측했다(develop ec30bafd9, 수집 1349행).
1. com.squareup.okio:okio 2.8.0 — GHSA-w33c-445m-f8w7 (medium)
유일하게 앱 코드 클래스패스에 있는 건이다. Kakao SDK 가 끌어오는 okhttp 4.9.2 의 전이 의존성으로 들어온다.
com.squareup.okio:okio:2.8.0
\--- com.squareup.okhttp3:okhttp:4.9.2
+--- com.kakao.sdk:v2-network:2.23.2
...
실측된 오염 configuration:
| 모듈 | configuration |
|---|---|
:feature:onboarding:presentation |
releaseCompileClasspath, debugCompileClasspath, debug/releaseScreenshotTestCompileClasspath, debugUnitTestCompileClasspath, debugAndroidTestCompileClasspath |
:feature:setting:presentation |
releaseCompileClasspath, debugCompileClasspath, debugUnitTestCompileClasspath, debugAndroidTestCompileClasspath |
최종 APK 는 안전하다 — :app 의 releaseRuntimeClasspath 는 okhttp 5.4.0 과 함께 정렬돼 okio-jvm:3.17.0 이다. 그래서 사용자 위험은 없지만, 두 feature 모듈이 okio 2.8.0 API 로 컴파일되고 런타임엔 3.17.0 이 오는 컴파일/런타임 클래스패스 불일치가 그대로 남아 있다. 카탈로그가 이미 okhttp 5.4.0 을 선언하는데 그 두 모듈만 카탈로그 okhttp 를 직접 의존하지 않아 Kakao SDK 의 4.9.2 를 그대로 받는 것이 원인이다.
2. org.apache.httpcomponents:httpclient 4.5.6 — GHSA-7r82-7xv7-xcpj (medium)
buildscript classpath 는 4.5.14 라 안전한데, AGP 가 뒤늦게 만드는 두 configuration 이 4.5.6 을 물고 있다 — androidLintTool, unified-test-platform-android-test-plugin-result-listener-gradle. 전 모듈에 걸쳐 있다.
3. ch.qos.logback:logback-core 1.3.16 — GHSA-jhq6-gfmj-v8fx / GHSA-p47f-322f-whfh / GHSA-qqpg-mvqg-649v (low ×3)
전 모듈의 ktlint configuration 에서만 나온다. ktlint CLI 가 끌어오는 로깅 구현체로, 빌드 도구 경유이고 산출물엔 없다.
4. .github/workflows/mock-cleanup-check.yml — actions/missing-workflow-permissions (medium)
워크플로 18종 중 permissions: 블록이 없는 유일한 파일이다. 토큰이 기본 권한 전체를 받는다. #847 후속인 PR #1039 가 이 파일을 건드리지만 actions/checkout SHA 고정만 하고 permissions: 는 추가하지 않아 이 지적은 그대로 남는다.
📌 Child Issue(Optional)
No response
📍 Note (Optional)
범위 밖으로 분류한 44건의 근거:
- netty 39건 — fix(build): netty 보안 하한이 AGP UTP 설정에 미적용 — 릴리스 PR dependency-review 가 high 8건으로 실패 #1058 / PR fix(build): netty 보안 하한을 AGP UTP 설정까지 확장 — 릴리스 PR dependency-review high 8건 해소 (closes 1058) [base: develop] #1060 이 AGP UTP 경유분(4.1.93·4.1.110)을
securityFloors로 덮는 중. 실측상 취약 버전 출처가unified-test-platform-core와unified-test-platform-android-test-plugin-host-emulator-control뿐이라 fix(build): netty 보안 하한을 AGP UTP 설정까지 확장 — 릴리스 PR dependency-review high 8건 해소 (closes 1058) [base: develop] #1060 범위와 정확히 일치한다. org.jetbrains.kotlin:kotlin-gradle-plugin1건 — fix(build): Kotlin Gradle Plugin 보안 권고 대응 필요 #986. 패치가2.4.20-Beta1베타뿐이라 지금 올릴 수 없다.java/android/insecure-local-authentication2건 — BiometricPrompt 를CryptoObject없이 호출하는 지적. Keystore 키 생성·무효화 처리를 동반하는 설계 변경이라 별도 이슈로 뗀다.
Activity