🇰🇷 한글 설명
chatboxai chatbox 1.20.0 이하 버전의 Model Context Protocol 서버 관리 시스템에서, src/main/mcp/ipc-stdio-transport.ts 파일의 StdioClientTransport 함수가 args/env 인자 조작을 허용하여 OS 명령어 인젝션이 발생할 수 있습니다. 원격 공격이 가능하며 공개된 익스플로잇이 존재하고, 개발사는 아직 대응하지 않은 상태입니다.
💡 쉬운 설명
채팅 앱의 AI 도구 연결 기능에 결함이 있어, 공격자가 악성 입력을 보내 컴퓨터에서 임의의 명령을 실행할 수 있습니다. 공개된 공격 코드가 있고 아직 수정 패치가 나오지 않았습니다.
🇺🇸 원문 (English)
A flaw has been found in chatboxai chatbox up to 1.20.0. This impacts the function StdioClientTransport of the file src/main/mcp/ipc-stdio-transport.ts of the component Model Context Protocol Server Management System. Executing a manipulation of the argument args/env can lead to os command injection. The attack can be launched remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
chatboxai chatbox 1.20.0 이하 버전 (데스크톱 앱 설치 환경)
⚔️ 공격 벡터
조작된 args/env 인자를 포함한 요청을 원격으로 전송하여 StdioClientTransport를 통해 OS 명령어를 주입
🛡️ 대응 방법
공식 패치가 나올 때까지 chatbox를 제거하거나 MCP 서버 기능을 비활성화하고, 신뢰할 수 없는 입력을 차단하며 1.20.0 초과 버전으로 업데이트
🔧 검증 코드
출력 결과에 chatbox 설치 경로와 ipc-stdio-transport 관련 파일이 나타나면 취약 버전 설치 가능성이 있으며, 아무 결과도 없으면 해당 경로에 설치되지 않은 것입니다.
grep -rl "StdioClientTransport" /Applications /opt /usr/local 2>/dev/null | grep -i chatbox
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
💻 영향받는 소프트웨어
Multi-Domain Security Management Server