🇰🇷 한글 설명
holaOS 2026.822.822 및 이전 버전의 channel-gateway 커넥터에서 권한 검증 누락 취약점이 발견되었습니다. 기본 허용 목록이 비어 있을 때 모든 송신자를 허용하는 오류로 인해, 공격자가 메시징 플랫폼을 통해 에이전트 작업을 제출하고 운영자의 기기에서 도구를 실행할 수 있습니다.
💡 쉬운 설명
메시지 앱을 통해 누구나 시스템에 명령을 내릴 수 있는 보안 구멍이 발견되었습니다. 공격자가 텔레그램이나 슬랙 등으로 메시지를 보내면 사용자의 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
holaOS through 2026.822.1 contains a missing authorization vulnerability in channel-gateway connectors that allows any messaging-platform user to submit agent tasks because the #isAllowed check accepts all senders when the default allowFrom list is empty. Attackers who can message the operator's Telegram, Slack, Discord, or other bot can have ChannelIngress.handle pass turns to the workspace agent, running configured tools on the operator's machine.
📍 영향받는 시스템
holaOS 2026.822.822 및 그 이전 버전
⚔️ 공격 벡터
텔레그램, 슬랙, 디스코드 등 메시징 플랫폼을 통한 악성 메시지 전송
🛡️ 대응 방법
holaOS를 최신 보안 패치가 적용된 버전으로 업데이트하고 channel-gateway의 allowFrom 목록을 명시적으로 설정하십시오.
🔧 검증 코드
출력된 버전이 2026.822.822 이하인 경우 해당 취약점에 노출된 상태입니다.
holaos-cli --version | grep -E '2026\[0-9.]+'