🇰🇷 한글 설명
Sipeed PicoClaw 0.2.9 이하 버전의 pkg/agent/context.go 파일 내 NewContextBuilder 함수에서 보안 취약점이 발견되었습니다. 공격자가 로컬에서 이를 조작할 경우 신뢰할 수 없는 제어 영역의 기능이 포함될 수 있습니다. 해당 취약점은 이미 공개되었으며 공격에 이용될 가능성이 있습니다.
💡 쉬운 설명
프로그램의 설정 생성 과정에서 외부의 잘못된 명령이 섞여 들어올 수 있는 문제입니다. 공격자가 컴퓨터에 직접 접속할 수 있는 상태라면 프로그램의 권한을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
A security vulnerability has been detected in Sipeed PicoClaw up to 0.2.9. Affected is the function NewContextBuilder of the file pkg/agent/context.go. Such manipulation leads to inclusion of functionality from untrusted control sphere. The attack needs to be performed locally. The exploit has been disclosed publicly and may be used. The reported GitHub issue was closed automatically with the label "not planned" by a bot.
📍 영향받는 시스템
Sipeed PicoClaw 0.2.9 및 그 이하 모든 버전
⚔️ 공격 벡터
로컬 환경에서의 함수 매개변수 조작을 통한 공격
🛡️ 대응 방법
해당 라이브러리를 최신 버전으로 업데이트하거나 소스 코드의 NewContextBuilder 함수 내 입력값 검증 로직을 강화해야 합니다.
🔧 검증 코드
출력된 버전이 0.2.9 이하인지 확인하여 취약 여부를 판단합니다.
pip show picoclaw 2>/dev/null | grep -E 'Version'