🇰🇷 한글 설명
SuperAGI v0.0.14 이하 버전의 에이전트 실행 컨트롤러에서 부적절한 접근 제어 취약점이 발견되었습니다. 인증된 공격자가 다른 조직의 agent_id를 사용하여 에이전트 실행 기록을 생성하거나 실행을 시작할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 팀의 AI 에이전트를 마음대로 조작하거나 실행할 수 있는 보안 결함입니다. 이를 통해 타인의 작업 내역을 조작하거나 시스템 자원을 무단으로 사용할 위험이 있습니다.
🇺🇸 원문 (English)
SuperAGI up to v0.0.14 contains an improper access control vulnerability in the agent execution controller. In affected source snapshots, create_agent_execution and create_agent_run in superagi/controllers/agent_execution.py accept a caller-supplied agent_id and fail to verify that the referenced agent belongs to the authenticated user's organization. A remote authenticated attacker from one organization can create or start execution records for agents owned by another organization through /agentexecutions/add or /agentexecutions/add_run.
📍 영향받는 시스템
SuperAGI v0.0.14 및 그 이전 버전
⚔️ 공격 벡터
인증된 공격자가 API(/agentexecutions/add 또는 /agentexecutions/add_run)를 통해 타 조직의 agent_id를 전달하여 공격
🛡️ 대응 방법
SuperAGI를 최신 보안 패치가 적용된 버전으로 업데이트하고, 에이전트 소유권 검증 로직을 강화하십시오.
🔧 검증 코드
출력된 버전이 v0.0.14 이하인지 확인하여 취약 여부를 판단합니다.
pip show superagi | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access