🇰🇷 한글 설명
TransformerOptimus SuperAGI v0.0.14 버전의 에이전트 템플릿 컨트롤러에서 부적절한 접근 제어 취약점이 발견되었습니다. 공격자가 임의의 agent_id 또는 agent_execution_id를 제공할 경우, 시스템이 해당 에이전트가 인증된 사용자의 조직에 속해 있는지 검증하지 않아 발생합니다.
💡 쉬운 설명
다른 사용자의 에이전트 정보를 몰래 가져오거나 수정할 수 있는 보안 허점이 있습니다. 공격자가 ID 값만 바꿔 입력하면 본인의 것이 아닌 다른 사람의 데이터를 조작할 수 있습니다.
🇺🇸 원문 (English)
TransformerOptimus SuperAGI v0.0.14 is vulnerable to Incorrect Access Control in the agent template controller. In affected source snapshots, save_agent_as_template and publish_template in superagi/controllers/agent_template.py accept caller-supplied agent_id or agent_execution_id values and do not verify that the referenced agent or execution belongs to the authenticated user's organization.
📍 영향받는 시스템
TransformerOptimus SuperAGI v0.0.14
⚔️ 공격 벡터
공격자가 조작된 agent_id 또는 agent_execution_id를 포함한 요청을 컨트롤러에 전송
🛡️ 대응 방법
해당 함수 내에서 요청된 ID가 현재 인증된 사용자의 조직 소유인지 확인하는 검증 로직 추가 및 업데이트
🔧 검증 코드
출력된 버전이 0.0.14와 일치하면 해당 취약점에 노출된 상태입니다.
pip show superagi | grep -E 'Version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access