🇰🇷 한글 설명
significant-gravitas/autogpt 저장소의 GitHub Integration과 Web Search 블록에서 SSRF 취약점이 발견되었습니다. 신뢰할 수 없는 소스에서 블록 입력이 제어될 경우 자격증명 유출, 내부 네트워크 스캔, 내부 서비스에 대한 무단 접근이 발생할 수 있습니다.
💡 쉬운 설명
AutoGPT의 GitHub 및 웹 검색 기능에서 공격자가 조작된 요청을 보내 서버가 원하지 않는 곳에 접근하도록 할 수 있습니다. 이를 통해 민감한 정보가 노출되거나 내부 시스템이 침해될 수 있습니다.
🇺🇸 원문 (English)
Multiple Server-Side Request Forgery (SSRF) vulnerabilities were identified in the significant-gravitas/autogpt repository, specifically in the GitHub Integration and Web Search blocks. These vulnerabilities affect version agpt-platform-beta-v0.1.1. The issues arise when block inputs are controlled by untrusted sources, leading to potential credential leakage, internal network scanning, and unauthorized access to internal services, APIs, or data stores. The affected blocks include GithubListPullRequestsBlock, GithubReadPullRequestBlock, GithubAssignPRReviewerBlock, GithubListPRReviewersBlock, GithubUnassignPRReviewerBlock, GithubCommentBlock, GithubMakeIssueBlock, GithubReadIssueBlock, GithubListIssuesBlock, GithubAddLabelBlock, GithubRemoveLabelBlock, GithubListBranchesBlock, and ExtractWebsiteContentBlock.
📍 영향받는 시스템
significant-gravitas/autogpt agpt-platform-beta-v0.1.1 및 이전 버전
⚔️ 공격 벡터
GitHub Integration 및 Web Search 블록의 입력값을 조작하여 서버가 내부 리소스나 API에 무단 요청을 하도록 유도
🛡️ 대응 방법
최신 버전으로 업그레이드하고 모든 외부 입력에 대한 검증 및 URL 필터링을 구현
🔧 검증 코드
설치된 AutoGPT 버전이 agpt-platform-beta-v0.1.1보다 최신인지 확인; 낮으면 업그레이드 필요
pip show autogpt-platform 2>/dev/null | grep Version || echo 'Not installed'