🇰🇷 한글 설명
OpenHuman 0.56.0 미만 버전에서 인증되지 않은 GET /auth/telegram 루프백 콜백에 대한 CSRF 취약점이 존재합니다. 공격자는 사용자가 악성 페이지를 방문하도록 유도하여 사용자의 로컬 세션을 공격자의 계정으로 전환시키고, 이후의 에이전트 작업, 메모리 기록 및 텔레그램 메시지를 탈취할 수 있습니다.
💡 쉬운 설명
사용자가 나쁜 웹사이트에 접속하기만 해도, 컴퓨터에 설치된 OpenHuman 프로그램의 로그인 상태가 공격자의 계정으로 몰래 바뀌어 정보가 유출될 수 있는 문제입니다. 이를 통해 공격자는 사용자의 대화 내용이나 활동 기록을 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
OpenHuman is an open-source agent harness available as a desktop application and Rust library. Versions before 0.56.0 allow cross-site request forgery against the unauthenticated GET /auth/telegram loopback callback because telegram_auth_handler consumes an attacker-supplied one-time Telegram login token and passes the returned JWT to credentials::ops::store_session without validating browser fetch metadata or the request origin. An attacker with an OpenHuman account can cause a user with the local core running to visit a malicious page that requests the /auth/telegram endpoint on loopback port 7788, switching the user's active local session to the attacker's backend account and exposing subsequent agent actions, memory writes, and Telegram messages associated with that session to the attacker. This issue is fixed in version 0.56.0.
📍 영향받는 시스템
OpenHuman (Desktop application 및 Rust library) 0.56.0 미만 버전
⚔️ 공격 벡터
사용자가 악성 웹 페이지를 방문하도록 유도하여 로컬 루프백 포트(7788)로 CSRF 공격 수행
🛡️ 대응 방법
OpenHuman을 최신 버전인 0.56.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.56.0보다 낮은지 확인하십시오.
openhuman --version 2>/dev/null || echo 'Version check failed'