🇰🇷 한글 설명
TransformerOptimus SuperAGI v0.0.14의 툴 컨트롤러에서 부적절한 접근 제어 취약점이 발견되었습니다. 공격자가 다른 조직의 tool_id를 사용하여 도구 메타데이터를 읽거나 수정할 수 있는 결함이 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 회사의 도구 정보를 몰래 보거나 내용을 바꿀 수 있는 보안 허점입니다. 도구의 고유 번호만 알면 다른 조직의 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
TransformerOptimus SuperAGI v0.0.14 is vulnerable to Incorrect Access Control in the tool controller. In affected source snapshots, get_tool and update_tool in superagi/controllers/tool.py accept a caller-supplied tool_id and fail to verify organization ownership through the associated toolkit. A remote authenticated attacker from one organization can read or modify another organization's tool metadata through /tools/get/{tool_id} and /tools/update/{tool_id}.
📍 영향받는 시스템
TransformerOptimus SuperAGI v0.0.14
⚔️ 공격 벡터
인증된 원격 공격자가 API 엔드포인트를 통해 타 조직의 tool_id를 입력하여 공격
🛡️ 대응 방법
superagi/controllers/tool.py 내 get_tool 및 update_tool 함수에 조직 소유권 검증 로직 추가
🔧 검증 코드
출력된 버전이 v0.0.14와 일치하면 해당 취약점에 노출된 상태입니다.
pip show superagi | grep -E 'Version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access