🇰🇷 한글 설명
PraisonAI의 MCP 서버가 제공하는 파일 처리 도구(praisonai.rules.create, show, delete, workflow.show)들이 경로 유효성 검사를 수행하지 않아 경로 조작(path traversal) 공격에 취약합니다. 공격자는 rule_name="../../<path>" 형태로 규칙 디렉토리를 벗어나 시스템의 어느 파일이든 생성/수정 가능하며, 파이썬 사이트-패키지에 .pth 파일을 주입하여 임의의 코드 실행으로 악용될 수 있습니다.
💡 쉬운 설명
PraisonAI 소프트웨어의 파일 관리 기능에 경로 검증이 없어서 공격자가 원하는 위치의 파일을 만들 수 있습니다. 이를 악용하면 사용자의 컴퓨터에서 자동으로 악성 코드를 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to version 4.6.34, PraisonAI's MCP (Model Context Protocol) server (praisonai mcp serve) registers four file-handling tools by default — praisonai.rules.create, praisonai.rules.show, praisonai.rules.delete, and praisonai.workflow.show. Each accepts a path or filename string from MCP tools/call arguments and joins it onto ~/.praison/rules/ (or, for workflow.show, accepts an absolute path) with no containment check. The JSON-RPC dispatcher passes params["arguments"] blind to each handler via **kwargs without validating against the advertised input schema. By setting rule_name="../../<some-path>" an attacker walks out of the rules directory and writes any file the running user can write. Dropping a Python .pth file into the user site-packages directory escalates this primitive to arbitrary code execution in any subsequent Python process the user spawns — the next praisonai CLI invocation, an IDE script run, the user's python REPL, or any background Python service. This issue has been patched in version 4.6.34.
📍 영향받는 시스템
PraisonAI 4.6.34 이전 모든 버전
⚔️ 공격 벡터
MCP 서버의 파일 처리 도구에 경로 조작 문자열('../../path')을 인자로 전달하여 규칙 디렉토리 외부의 파일을 생성/수정하고, Python site-packages 디렉토리에 .pth 파일을 주입하여 다음 Python 프로세스 실행 시 임의 코드 실행
🛡️ 대응 방법
PraisonAI를 4.6.34 이상으로 즉시 업그레이드
🔧 검증 코드
Version 필드가 4.6.34 이상이면 패치되었으며, 4.6.34 미만이면 즉시 업그레이드 필요
pip show praisonai 2>/dev/null | grep -E 'Version|version'