🇰🇷 한글 설명
NousResearch hermes-agent 0.15.2 이하 버전의 Discord 플랫폼 연동 모듈(gateway/platforms/discord.py)에 있는 DiscordAdapter._is_allowed_user 함수에서 취약점이 발견되었습니다. 이 결함으로 인해 사용자 인증이 부적절하게 수행될 수 있으며, 원격에서 공격이 가능합니다. 공개된 익스플로잇이 존재하지만 공격 복잡도가 높고 악용이 어렵다고 평가됩니다. 벤더는 사전에 통보받았으나 응답하지 않았습니다.
💡 쉬운 설명
Discord와 연결된 AI 에이전트 프로그램이 사용자의 신원을 제대로 확인하지 못하는 문제가 있습니다. 공격자가 허용되지 않은 사용자인 것처럼 행동해 에이전트를 조작할 수 있습니다.
🇺🇸 원문 (English)
A security vulnerability has been detected in NousResearch hermes-agent up to 0.15.2. This affects the function DiscordAdapter._is_allowed_user of the file gateway/platforms/discord.py of the component Discord Platform Integration. Such manipulation leads to improper authentication. The attack can be launched remotely. This attack is characterized by high complexity. The exploitability is reported as difficult. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
NousResearch hermes-agent 0.15.2 이하 버전 (Discord 플랫폼 연동 기능 사용 시)
⚔️ 공격 벡터
원격에서 Discord 연동 인증 로직을 우회하도록 조작된 요청을 전송하여 비인가 사용자로 인증받음
🛡️ 대응 방법
벤더의 패치 버전(0.15.2 초과)으로 업그레이드하거나, 패치 전까지 Discord 연동 기능을 비활성화하고 허용 사용자 목록을 엄격히 관리
🔧 검증 코드
출력된 Version 값이 0.15.2 이하이면 취약하며, 0.15.2 초과이면 패치가 적용된 것으로 판단합니다.
pip show hermes-agent 2>/dev/null | grep -i version