🇰🇷 한글 설명
Google Cloud Agent Development Kit(ADK) Python 버전 2.0.0에서 2.6.0 사이에서 발생하는 코드 주입 취약점입니다. pytest가 설치된 Python(OSS), Cloud Run, GKE 환경에서 인증되지 않은 원격 공격자가 조작된 테스트 세션 리플레이를 통해 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 만든 테스트 데이터를 보내면 서버에서 몰래 나쁜 명령어를 실행할 수 있는 보안 구멍입니다. 특히 pytest라는 도구가 설치된 클라우드 환경에서 위험할 수 있습니다.
🇺🇸 원문 (English)
A Code Injection vulnerability in adk web in Google Cloud Agent Development Kit (ADK) for Python versions 2.0.0 through 2.6.0 on Python (OSS), Cloud Run, and GKE environments where pytest is installed allows an unauthenticated remote attacker to execute arbitrary code using a crafted test session replay.
📍 영향받는 시스템
Google Cloud ADK for Python 2.0.0 ~ 2.6.0 (Python OSS, Cloud Run, GKE 환경)
⚔️ 공격 벡터
조작된 테스트 세션 리플레이를 이용한 원격 코드 주입
🛡️ 대응 방법
ADK 버전을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 2.0.0에서 2.6.0 사이라면 취약한 상태입니다.
pip show google-cloud-adk | grep -E 'Version'