🇰🇷 한글 설명
xiaobei 5.5.2 이하 버전에서 웹훅 엔드포인트의 인증 및 서명 검증 미비로 인해 인증되지 않은 공격자가 에이전트 파이프라인에 임의의 메시지를 주입할 수 있습니다. 공격자는 /webhook_worktool 핸들러를 통해 악성 메시지를 게시하고, 검증되지 않은 미디어 URL 호출 기능을 악용하여 내부 서비스에 대한 서버 측 요청 위조(SSRF) 공격을 수행할 수 있습니다.
💡 쉬운 설명
인증 절차가 없는 통로를 통해 해커가 가짜 메시지를 시스템에 보낼 수 있는 보안 결함입니다. 이를 통해 해커는 서버를 조종하여 내부 네트워크의 다른 중요한 시스템까지 공격할 수 있습니다.
🇺🇸 원문 (English)
xiaobei through 5.5.2 fails to implement authentication or signature validation on webhook endpoints, allowing unauthenticated attackers to inject arbitrary messages into the agent pipeline. Attackers can publish malicious messages via the /webhook_worktool handler and exploit unvalidated media URL fetching to perform server-side request forgery against internal services.
📍 영향받는 시스템
xiaobei 5.5.2 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 웹훅 엔드포인트(/webhook_worktool)를 통한 악성 메시지 주입 및 SSRF 공격
🛡️ 대응 방법
xiaobei를 최신 보안 패치가 적용된 버전으로 업데이트하고 웹훅 엔드포인트에 인증 및 서명 검증을 적용하십시오.
🔧 검증 코드
명령어 결과에 5.5.2 이하의 버전 번호가 나타나면 취약한 버전이 설치된 상태입니다.
xiaobei --version 2>/dev/null | grep -E '5\.[0-5]\.'