🇰🇷 한글 설명
Google ADK TypeScript(@google/adk) 0.6.0 미만 버전의 FileArtifactService에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자는 userId 또는 sessionId 파라미터에 특수 문자를 삽입하여 의도된 저장소 외부의 파일을 읽거나 쓸 수 있습니다. 이 취약점은 FileArtifactService가 활성화된 상태에서 API 서버가 노출될 때 발생합니다.
💡 쉬운 설명
해커가 파일 경로를 조작하여 허용되지 않은 컴퓨터 내부 파일을 몰래 읽거나 마음대로 파일을 저장할 수 있는 보안 약점입니다. 구글의 특정 개발 도구를 사용할 때 설정이 잘못되어 있으면 발생할 수 있습니다.
🇺🇸 원문 (English)
Path Traversal (CWE-22) in FileArtifactService in Google ADK TypeScript (@google/adk) versions 0.4.0 before 0.6.0 allows a remote unauthenticated attacker to read files matching the artifact directory layout or write files (when an agent tool invokes saveArtifact) outside the intended artifact storage root via crafted relative or percent-encoded path traversal sequences (such as ../ or ..%2F) in the userId or sessionId parameters when the ADK API server is exposed with the non-default FileArtifactService enabled. Applications using the default InMemoryArtifactService are unaffected. Upgrade to @google/adk version 0.6.0 or later.
📍 영향받는 시스템
@google/adk version 0.4.0 to 0.5.x (FileArtifactService 활성화 시)
⚔️ 공격 벡터
userId 또는 sessionId 파라미터에 ../ 또는 ..%2F와 같은 경로 탐색 시퀀스를 삽입하여 공격
🛡️ 대응 방법
@google/adk 버전을 0.6.0 이상으로 업그레이드하거나 기본값인 InMemoryArtifactService를 사용하십시오.
🔧 검증 코드
출력된 결과에서 @google/adk의 버전이 0.6.0 미만인지 확인하십시오.
💻 영향받는 소프트웨어
IBM WebSphere Application Server