🇰🇷 한글 설명
AgentCore CLI v0.14.2 이전 버전은 Python 코드 생성 시 삼중 따옴표 문자를 적절히 중화하지 않아 임의 코드 실행 취약점이 존재합니다. 공격자는 Bedrock Agent의 collaborationInstruction에 악성 데이터를 저장한 후, 같은 AWS 계정 내 다른 사용자가 에이전트를 가져올 때 이를 통해 원격으로 코드를 실행할 수 있습니다.
💡 쉬운 설명
이 취약점은 소프트웨어가 입력된 데이터를 제대로 검사하지 않아 해커가 악성 코드를 숨길 수 있게 만드는 문제입니다. 공격자가 특정 파일을 조작해두면, 다른 사용자가 해당 기능을 사용할 때 해커의 의도대로 컴퓨터가 작동하게 됩니다.
🇺🇸 원문 (English)
Improper neutralization of triple-quote characters during Python code generation in AgentCore CLI before v0.14.2 might allow an authenticated remote threat actor to execute arbitrary code on AWS AgentCore Runtime under the imported agent's IAM execution role and on the local environment of another user in the same AWS account, via a crafted collaborationInstruction stored on a Bedrock Agent collaborator and later processed by that other user during agent import.
To remediate this issue, users should upgrade to version 0.14.2.
📍 영향받는 시스템
AWS AgentCore Runtime, AgentCore CLI version < 0.14.2
⚔️ 공격 벡터
Bedrock Agent collaborator에 저장된 악성 collaborationInstruction을 타 사용자가 에이전트 가져올 때 처리
🛡️ 대응 방법
AgentCore CLI를 버전 0.14.2 이상으로 업그레이드하십시오.
🔧 검증 코드
명령어 실행 결과 0.14.2 미만의 버전 번호가 출력되면 취약한 버전이므로 즉시 업그레이드해야 합니다.
agentcore-cli --version | grep -E '0\.1[0-3]\.'