🇰🇷 한글 설명
A2A Java SDK 1.3.0.Final 미만 버전에서 RestHandler.parseRequestBody 메서드가 프로토콜 버퍼 역직렬화 오류 발생 시 JSON 요청 본문 전체를 SEVERE 레벨로 로그에 기록하는 취약점이 있습니다. 이 과정에서 푸시 알림 설정 요청에 포함된 인증 토큰 및 자격 증명이 로그에 평문으로 노출될 수 있습니다. 공격자는 로그에 접근하여 탈취한 자격 증명을 이용해 클라이언트 푸시 엔드포인트로 위조된 작업 상태 업데이트를 전송할 수 있습니다.
💡 쉬운 설명
프로그램이 오류를 처리하는 과정에서 보안이 중요한 비밀번호나 인증 토큰을 로그 파일에 그대로 적어버리는 문제입니다. 로그 파일을 볼 수 있는 사람이 있다면 이 정보를 훔쳐서 사용자의 권한을 도용할 수 있습니다.
🇺🇸 원문 (English)
A2A Java SDK is the official Java SDK for the Agent2Agent (A2A) Protocol. Prior to 1.3.0.Final, RestHandler.parseRequestBody in `transport/rest/src/main/java/org/a2aproject/sdk/transport/rest/handler/RestHandler.java` logs the entire JSON request body at SEVERE level when JsonFormat.parser().merge() throws InvalidProtocolBufferException. With push notifications enabled, createTaskPushNotificationConfiguration reaches this parser for requests to `/v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs`, whose token and authentication.credentials fields can contain bearer tokens and authentication credentials for client push endpoints. A valid JSON body that fails protobuf deserialization, including an unknown field under strict parsing or a schema mismatch, causes those secrets to be written to the server logs in cleartext. An attacker with access to the server logs or a log aggregation system can retrieve the credentials and potentially use the credentials to send forged task status updates to the client's push notification endpoint. This issue is fixed in version 1.3.0.Final.
📍 영향받는 시스템
A2A Java SDK versions prior to 1.3.0.Final
⚔️ 공격 벡터
서버 로그 또는 로그 통합 시스템에 접근하여 평문으로 기록된 인증 자격 증명 탈취
🛡️ 대응 방법
A2A Java SDK를 1.3.0.Final 버전 이상으로 업데이트
🔧 검증 코드
출력된 라이브러리 버전이 1.3.0.Final보다 낮은지 확인
mvn dependency:list | grep 'org.a2aproject:a2a-java-sdk'