🇰🇷 한글 설명
Upsonic 0.71.6 버전의 MCP 서버/태스크 생성 기능에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 허용된 명령(npm, npx)의 인자 값을 조작하여 임의의 OS 명령어를 실행할 수 있으며, 이를 통해 Upsonic 프로세스 권한으로 악성 코드가 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 허용된 명령어만 사용하도록 제한하고 있지만, 공격자가 명령어 뒤에 숨겨진 옵션을 붙여 악성 명령을 실행할 수 있는 허점이 있습니다. 이를 통해 해커가 사용자의 컴퓨터에서 마음대로 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Upsonic 0.71.6 contains a remote code execution vulnerability in its MCP server/task creation functionality. The application allows users to define MCP tasks with arbitrary command and args values. Although an allowlist exists, certain allowed commands (npm, npx) accept argument flags that enable execution of arbitrary OS commands. Maliciously crafted MCP tasks may lead to remote code execution with the privileges of the Upsonic process. In version 0.72.0 Upsonic added a warning about using Stdio servers being able to execute commands directly on the machine.
📍 영향받는 시스템
Upsonic 0.71.6 이하 버전
⚔️ 공격 벡터
MCP 태스크 생성 시 npm 또는 npx 명령어의 인자(args)에 악성 플래그를 삽입하여 공격
🛡️ 대응 방법
Upsonic을 0.72.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.71.6 이하이면 취약한 상태이며, 0.72.0 이상이면 안전합니다.
pip show upsonic 2>/dev/null | grep -E 'Version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server