🇰🇷 한글 설명
Roo Code 3.26.6 이하 버전의 GitHub 워크플로우에서 검증되지 않은 Pull Request 메타데이터를 권한이 있는 컨텍스트에서 사용함으로써 원격 코드 실행(RCE)이 가능합니다. 공격자는 이를 통해 Actions 러너에서 임의의 명령을 실행하고 저장소 비밀 정보에 접근하거나 코드를 수정하여 저장소 전체를 장악할 수 있습니다.
💡 쉬운 설명
코딩을 도와주는 AI 도구인 Roo Code의 설정 오류로 인해, 해커가 가짜 요청을 보내 컴퓨터를 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. 이 구멍을 통해 해커는 중요한 비밀번호를 훔치거나 코드를 몰래 바꿀 수 있습니다.
🇺🇸 원문 (English)
Roo Code is an AI-powered autonomous coding agent that lives in users' editors. In versions 3.26.6 and below, a Github workflow used unsanitized pull request metadata in a privileged context, allowing an attacker to craft malicious input and achieve Remote Code Execution (RCE) on the Actions runner. The workflow runs with broad permissions and access to repository secrets. It is possible for an attacker to execute arbitrary commands on the runner, push or modify code in the repository, access secrets, and create malicious releases or packages, resulting in a complete compromise of the repository and its associated services. This is fixed in version 3.26.7.
📍 영향받는 시스템
Roo Code version 3.26.6 and below
⚔️ 공격 벡터
검증되지 않은 Pull Request 메타데이터를 이용한 원격 코드 실행(RCE)
🛡️ 대응 방법
Roo Code를 버전 3.26.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.26.7 미만이면 취약한 상태이며, 3.26.7 이상이면 안전합니다.
npm list -g @roocode/cli --depth=0 2>/dev/null | grep -E 'roocode'