🇰🇷 한글 설명
continuedev Continue 2.0.0의 core/config/ConfigHandler.ts 파일에 있는 MCPManagerSingleton.setConnections 함수에서 취약점이 발견되었습니다. 이 취약점은 MCP Server Transport 구성요소에서 조작을 통해 OS 명령어 주입을 일으킬 수 있으며, 원격으로 공격이 가능합니다. 익스플로잇이 공개되어 실제 악용될 수 있으며, 벤더는 사전 통보를 받았으나 응답하지 않았습니다.
💡 쉬운 설명
AI 코딩 도우미 프로그램 Continue에 외부에서 악성 명령을 몰래 실행시킬 수 있는 결함이 있습니다. 공격 방법이 공개되어 있어 사용자 컴퓨터가 위험에 노출될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in continuedev Continue 2.0.0. This vulnerability affects the function MCPManagerSingleton.setConnections of the file core/config/ConfigHandler.ts of the component MCP Server Transport. Such manipulation leads to os command injection. The attack can be executed remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
continuedev Continue 2.0.0 (MCP Server Transport 기능 사용 환경)
⚔️ 공격 벡터
조작된 MCP 서버 설정 입력을 통해 원격에서 OS 명령어를 주입하여 실행
🛡️ 대응 방법
Continue를 취약하지 않은 최신 버전으로 업데이트하고, 신뢰할 수 없는 MCP 서버 설정을 사용하지 않도록 합니다.
🔧 검증 코드
출력에 2.0.0 버전이 표시되면 취약한 버전이므로 업데이트가 필요하고, 결과가 없거나 다른 버전이면 해당 버전이 설치되어 있지 않은 것입니다.
npm list -g @continuedev/cli 2>/dev/null | grep -E 'continue|2\.0\.0'