🇰🇷 한글 설명
5ire 데스크톱 AI 어시스턴트 0.15.2 및 이전 버전에서 useMarkdown.ts 파일 내 markdown-it-mermaid 플러그인의 보안 설정 오류로 인해 원격 코드 실행(RCE) 취약점이 존재합니다. 해당 플러그인이 securityLevel을 'loose'로 설정하여 Mermaid 다이어그램 노드 내 HTML 태그 렌더링을 허용함으로써 발생합니다.
💡 쉬운 설명
AI 비서 프로그램이 다이어그램을 그릴 때 보안 검사를 제대로 하지 않아, 악성 코드가 포함된 명령어를 실행할 수 있는 위험이 있습니다. 공격자가 특수하게 제작된 다이어그램을 보여주면 사용자의 컴퓨터를 제어할 수 있습니다.
🇺🇸 원문 (English)
5ire is a cross-platform desktop artificial intelligence assistant and model context protocol client. In versions 0.15.2 and prior, an RCE vulnerability exists in useMarkdown.ts, where the markdown-it-mermaid plugin is initialized with securityLevel: 'loose'. This configuration explicitly permits the rendering of HTML tags within Mermaid diagram nodes. This issue has not been patched at time of publication.
📍 영향받는 시스템
5ire desktop AI assistant version 0.15.2 and prior
⚔️ 공격 벡터
악성 HTML 태그가 포함된 Mermaid 다이어그램 형식을 통해 원격 코드 실행
🛡️ 대응 방법
해당 취약점이 패치된 최신 버전으로 업데이트하거나, 보안 설정이 강화된 플러그인 사용을 권고함
🔧 검증 코드
설치된 소프트웨어 목록에서 5ire의 설치 여부와 버전을 확인하여 취약 버전인지 판단합니다.
echo '5ire' | grep -i '5ire' || echo 'Not installed'