🇰🇷 한글 설명
@pensar/apex 0.0.58 이하 버전에서 smart_enumerate 도구를 통해 OS 명령 주입 취약점이 발생합니다. src/core/agent/tools.ts의 createSmartEnumerateTool() 함수가 검증되지 않은 확장 프로그램 배열 및 URL 매개변수 값을 Node.js child_process.exec()에 전달하여 임의의 명령을 실행할 수 있습니다. 단, 공급업체는 해당 동작이 보안 정책에 따른 의도된 동작이라며 이 취약점 보고에 이의를 제기했습니다.
💡 쉬운 설명
프로그램이 외부에서 입력받은 값을 제대로 검사하지 않고 컴퓨터 명령어로 바로 실행해버리는 문제입니다. 공격자가 이 틈을 타서 해커의 명령을 컴퓨터에 직접 내릴 수 있어 위험합니다.
🇺🇸 원문 (English)
@pensar/apex <= 0.0.58 is vulnerable to OS command injection via the smart_enumerate tool. The createSmartEnumerateTool() function in src/core/agent/tools.ts constructs a shell command by concatenating unsanitized values from the extensions array and url parameter into a string passed to Node.js child_process.exec(). Because exec() spawns a shell, shell metacharacters in those values are interpreted by the host shell, resulting in arbitrary OS command execution with the privileges of the running process. NOTE: this is disputed by the Supplier because the report is about intended behavior, as explained in the Security Policy of the pensarai/apex GitHub repo.
📍 영향받는 시스템
@pensar/apex <= 0.0.58
⚔️ 공격 벡터
검증되지 않은 extensions 배열 및 url 매개변수를 통한 OS 명령 주입
🛡️ 대응 방법
해당 패키지를 최신 버전으로 업데이트하거나, 입력값에 대한 엄격한 필터링 및 exec() 대신 execFile() 사용을 권장합니다.
🔧 검증 코드
출력된 버전이 0.0.58 이하인지 확인합니다.