🇰🇷 한글 설명
JetBrains Junie GitHub Action 1.6.4 이전 버전에서는 HTML 인코딩된 문자를 사용하여 프롬프트 인젝션 방어 기능을 우회할 수 있습니다. 이로 인해 공격자가 AI 에이전트의 동작을 조작할 가능성이 있습니다. CVSS 점수는 5.4(중간)입니다.
💡 쉬운 설명
JetBrains의 AI 자동화 도구 Junie에는 악의적인 명령을 걸러내는 보안 기능이 있습니다. 이 취약점은 특정 인코딩 방식을 사용해 그 필터를 피해 갈 수 있게 합니다.
🇺🇸 원문 (English)
In JetBrains Junie GitHub Action before 1.6.4 prompt injection protection could be bypassed via HTML-encoded characters
📍 영향받는 시스템
JetBrains Junie GitHub Action 1.6.4 이전 버전
⚔️ 공격 벡터
HTML 인코딩된 문자를 포함한 악성 프롬프트를 작성하여 프롬프트 인젝션 방어를 우회
🛡️ 대응 방법
JetBrains Junie GitHub Action을 1.6.4 이상 버전으로 업데이트
🔧 검증 코드
출력된 워크플로 파일의 junie 액션 버전 태그(@x.y.z)를 확인하여 1.6.4 미만이면 취약, 1.6.4 이상이면 패치 적용된 것입니다. 결과가 없으면 해당 액션을 사용하지 않는 것입니다.
grep -rn -E 'JetBrains/junie|junie-github-action|junie.*@[0-9]' .github/workflows/ 2>/dev/null