🇰🇷 한글 설명
Entire CLI는 Git 워크플로에 연결되어 AI 에이전트 세션을 캡처합니다. 0.7.7 이전 버전에서는 checkpoints 저장소에 푸시 권한이 있는 공격자가 악성 체크포인트 메타데이터를 조작하여, 세션 재개나 체크포인트 되돌리기 시 피해자 시스템의 임의 파일을 덮어쓸 수 있는 경로 순회 취약점이 존재합니다. 이 문제는 0.7.7 버전에서 패치되었습니다.
💡 쉬운 설명
공격자가 AI 작업 기록 저장소에 악성 데이터를 올리면, 사용자가 세션을 복원할 때 컴퓨터의 다른 중요한 파일이 덮어써질 수 있습니다. 최신 버전으로 업데이트하면 이 위험이 제거됩니다.
🇺🇸 원문 (English)
Entire CLI hooks into Git workflows to capture AI agent sessions. Prior to version 0.7.7, a path traversal vulnerability in Entire CLI allows an attacker with push access to the checkpoints repository to craft malicious checkpoint metadata that causes entire session resume or entire checkpoint rewind to write attacker-controlled transcript data outside of the expected session directory. The issue occurs because checkpoint metadata is fetched from the remote entire/checkpoints/v1 branch and the SessionID field was used to construct filesystem paths without validation in the restore path. A malicious SessionID containing absolute paths or path traversal sequences could cause arbitrary files on the victim’s machine to be overwritten. This issue has been patched in version 0.7.7.
📍 영향받는 시스템
Entire CLI 0.7.7 미만 버전
⚔️ 공격 벡터
checkpoints 저장소에 푸시 권한을 가진 공격자가 SessionID에 절대 경로나 ../ 시퀀스를 포함한 악성 메타데이터를 원격 브랜치에 push
🛡️ 대응 방법
Entire CLI를 0.7.7 이상으로 업데이트하고, 신뢰할 수 없는 체크포인트 저장소의 세션 복원을 피하세요.
🔧 검증 코드
출력된 버전이 0.7.7 미만이면 취약하므로 업데이트가 필요하며, 0.7.7 이상이면 패치가 적용된 것이고, not-installed면 해당 시스템에는 영향이 없습니다.
entire --version 2>/dev/null || (command -v entire >/dev/null && echo installed-unknown-version) || echo not-installed