🇰🇷 한글 설명
Google Agent Development Kit(ADK) 1.7.0~1.28.0(및 2.0.0a1)에서 코드 인젝션 및 인증 부재 취약점으로 비인증 원격 공격자가 ADK 인스턴스 서버에서 임의 코드를 실행할 수 있습니다. Python OSS, Cloud Run, GKE 환경 모두 영향을 받습니다.
💡 쉬운 설명
구글의 AI 에이전트 개발 키트에 인증 없이 누구나 서버 명령을 실행할 수 있는 심각한 결함이 있습니다. ADK 웹을 로컬에서 돌리는 경우에도 위험합니다.
🇺🇸 원문 (English)
A Code Injection and Missing Authentication vulnerability in Google Agent Development Kit (ADK) versions 1.7.0 (and 2.0.0a1) through 1.28.1 (and 2.0.0a2) on Python (OSS), Cloud Run, and GKE allows an unauthenticated remote attacker to execute arbitrary code on the server hosting the ADK instance.
This vulnerability was patched in versions 1.28.1 and 2.0.0a2.
Customers need to redeploy the upgraded ADK to their production environments. In addition, if they are running ADK Web locally, they also need to upgrade their local instance.
📍 영향받는 시스템
Google ADK 1.7.0~1.28.0, 2.0.0a1 (Python, Cloud Run, GKE)
⚔️ 공격 벡터
비인증 원격 공격자가 ADK 엔드포인트에 코드 인젝션
🛡️ 대응 방법
Google ADK 1.28.1 또는 2.0.0a2 이상으로 업그레이드 후 재배포
🔧 검증 코드
설치 버전이 1.28.1 또는 2.0.0a2 미만이면 취약
pip show google-adk 2>/dev/null | grep -i version || echo 'Google ADK 미설치'