🇰🇷 한글 설명
SuperAGI 0.0.14 이하 버전에서 잘못된 접근 제어 취약점이 발견되었습니다. 인증된 사용자가 권한 확인 절차를 우회하여 다른 조직에 속한 에이전트를 자신의 일정에 등록할 수 있는 문제입니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 회사의 에이전트를 마음대로 조작할 수 있는 보안 결함입니다. 이로 인해 타인의 작업 프로세스에 간섭하거나 비정상적인 실행을 유도할 수 있습니다.
🇺🇸 원문 (English)
SuperAGI up to 0.0.14 is vulnerable to Incorrect Access Control. The agent execution controller endpoint /api/agentexecutions/schedule allows authenticated users from one organization to schedule existing agents belonging to a different organization without proper authorization checks. The endpoint accepts an agent_id parameter but does not verify that the agent belongs to the authenticated user's organization.
📍 영향받는 시스템
SuperAGI version up to 0.0.14
⚔️ 공격 벡터
인증된 사용자가 /api/agentexecutions/schedule 엔드포인트에 타 조직의 agent_id를 포함하여 요청을 전송
🛡️ 대응 방법
에이전트 실행 요청 시 해당 agent_id가 현재 사용자의 조직에 속해 있는지 검증하는 로직을 추가하고 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.0.14 이하인지 확인하여 취약 여부를 판단합니다.
curl -s -X GET http://<target_ip>/api/version | grep -E '0\.[0-1][0-4]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access