🇰🇷 한글 설명
agent-zero 1.7, 1.8, 1.9, 1.10 버전의 python/helpers/file_browser.py 내 FileBrowser.__init__ 함수에서 디렉토리 트래버설 취약점이 발견되었습니다. FileBrowser 클래스가 호스트 루트 디렉토리를 작업 공간으로 초기화하여, 에이전트가 시스템의 모든 파일에 제한 없이 접근할 수 있는 문제가 있습니다.
💡 쉬운 설명
프로그램이 파일을 찾는 규칙이 너무 느슨해서, 공격자가 원래 허용된 폴더를 벗어나 컴퓨터 전체의 파일을 들여다볼 수 있는 문제입니다. 이를 통해 중요한 개인 정보나 시스템 설정 파일을 몰래 가져갈 수 있습니다.
🇺🇸 원문 (English)
agent-zero 1.7, 1.8, 1.9, and 1.10 is vulnerable to Directory Traversal in python/helpers/file_browser.py:FileBrowser.__init__. The FileBrowser class initializes with the host root directory as the workspace, allowing the agent to access any file on the system without restriction.
📍 영향받는 시스템
agent-zero 1.7, 1.8, 1.9, 1.10
⚔️ 공격 벡터
FileBrowser 클래스의 초기화 과정에서 작업 디렉토리 제한을 우회하여 시스템 루트 디렉토리에 접근하는 방식
🛡️ 대응 방법
FileBrowser 초기화 시 작업 디렉토리를 특정 경로로 제한하도록 코드를 수정하거나 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.7, 1.8, 1.9, 1.10 중 하나라면 해당 취약점에 노출된 상태입니다.
pip show agent-zero | grep -E 'Version'