🇰🇷 한글 설명
AstronRPA 1.1.6 이하 버전의 데스크톱 클라이언트 스마트 컴포넌트 채팅에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 검증되지 않은 LLM 출력을 악용하여 OS 명령을 실행할 수 있으며, 프롬프트 인젝션을 통해 쉘 메타문자가 포함된 IPC 핸들러를 호출함으로써 데스크톱 사용자의 권한으로 명령을 실행할 수 있습니다.
💡 쉬운 설명
채팅창의 AI가 악성 코드가 포함된 답변을 하도록 유도하여 컴퓨터를 해킹하는 방식입니다. 공격자가 특수하게 조작된 메시지를 보내면 사용자의 컴퓨터에서 몰래 명령어가 실행될 수 있습니다.
🇺🇸 원문 (English)
AstronRPA through 1.1.6 contains a cross-site scripting vulnerability in the desktop client's smart-component chat that allows remote attackers to execute OS commands by abusing unsanitized LLM output rendered via v-html. Attackers can embed prompt-injection content in a web page so the model emits HTML event handlers invoking the unrestricted open-path IPC handler with shell metacharacters, executing commands as the desktop user.
📍 영향받는 시스템
AstronRPA 1.1.6 이하 버전
⚔️ 공격 벡터
웹 페이지에 삽입된 프롬프트 인젝션 콘텐츠를 통해 LLM이 악성 HTML 이벤트 핸들러를 출력하게 하여 IPC 핸들러를 호출함
🛡️ 대응 방법
AstronRPA를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.1.6 이하의 버전 번호가 나타나면 취약한 버전이 설치된 것입니다.
AstronRPA --version 2>/dev/null | grep -E '1\.[0-6]\.'