🇰🇷 한글 설명
andreahaku codex_mcp의 src/codex-process-simple.ts 파일 내 특정 함수에서 커맨드 인젝션 취약점이 발견되었습니다. model 인자를 조작함으로써 공격자가 명령어를 실행할 수 있으며, 이 공격은 로컬 접근 권한이 필요합니다.
💡 쉬운 설명
프로그램의 특정 입력값(model)을 악의적으로 조작하면 컴퓨터에 몰래 명령을 내릴 수 있는 보안 약점입니다. 공격자가 시스템에 직접 접근할 수 있는 상태여야 실행이 가능합니다.
🇺🇸 원문 (English)
A vulnerability was found in andreahaku codex_mcp up to 1ff521cc6cc57cfe56ddef946c644b8534771390. The affected element is an unknown function of the file src/codex-process-simple.ts of the component ask MCP Tool. The manipulation of the argument model results in command injection. The attack requires a local approach. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
andreahaku codex_mcp (commit hash 1ff521cc6cc57cfe56ddef946c644b8534771390 이하 버전)
⚔️ 공격 벡터
로컬 접근을 통한 model 인자 조작 및 커맨드 인젝션
🛡️ 대응 방법
해당 라이브러리의 보안 패치 적용 또는 model 인자에 대한 입력값 검증 로직 추가
🔧 검증 코드
출력된 커밋 해시가 취약한 범위(1ff521cc6cc57cfe56ddef946c644b8534771390 이하)에 해당하는지 확인