🇰🇷 한글 설명
n8n 오픈소스 워크플로우 자동화 플랫폼의 특정 버전에서 Git 노드를 통해 임의의 Git 설정을 변경할 수 있는 취약점이 발견되었습니다. 공격자가 core.hooksPath 설정을 조작하여 악성 Git 훅을 실행함으로써 호스트 시스템에서 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
n8n이라는 자동화 도구의 설정 오류를 이용해 해커가 내 컴퓨터에서 몰래 명령어를 실행할 수 있는 보안 구멍이 발견되었습니다. Git이라는 도구의 설정을 마음대로 바꿀 수 있는 점을 악용하는 방식입니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Versions 0.123.1 through 1.119.1 do not have adequate protections to prevent RCE through the project's pre-commit hooks. The Add Config operation allows workflows to set arbitrary Git configuration values, including core.hooksPath, which can point to a malicious Git hook that executes arbitrary commands on the n8n host during subsequent Git operations. Exploitation requires the ability to create or modify an n8n workflow using the Git node. This issue is fixed in version 1.119.2. Workarounds include excluding the Git Node (Docs) and avoiding cloning or interacting with untrusted repositories using the Git Node.
📍 영향받는 시스템
n8n 버전 0.123.1 ~ 1.119.1
⚔️ 공격 벡터
Git 노드를 사용하여 core.hooksPath를 조작하고 악성 Git 훅을 실행하는 방식
🛡️ 대응 방법
n8n 버전을 1.119.2 이상으로 업데이트하거나, Git 노드 사용을 중단하고 신뢰할 수 없는 저장소와의 상호작용을 피하십시오.
🔧 검증 코드
출력된 n8n의 버전이 1.119.1 이하인지 확인하여 취약 여부를 판단합니다.
npm list -g n8n | grep n8n