무슨 일이 있었나
GitHub 보안 권고에 따르면 인증 헬퍼가 호출자가 속한 작업공간을 확인하지 않고 전역 CONTAINER_SHARED_SECRET을 베어러 토큰으로 허용합니다. 시크릿이 모든 컨테이너에서 동일하고 테넌트 셸에서 접근 가능하므로, 모든 테넌트가 다른 테넌트의 작업공간 API에 도달하여 교차 작업공간 읽기, 쓰기, 업로드, 백업 하이재킹 및 파괴적 복원 프리미티브를 얻을 수 있습니다. 요청 수준 PoC(프리미티브당 하나의 헤더)가 권고에 문서화되어 있습니다.
왜 중요한가
이것은 에이전틱 개발/클라우드 OS 플랫폼에서 제로 권한 교차 테넌트 기능 사다리입니다: 공격자가 피해자 소스, .git 히스토리, 시크릿 및 사용자 데이터를 제어하여 읽을 수 있고, 피해자 작업공간에 쓰기(공급망 시딩) 및 파괴적 복원이 가능합니다. 고객 코드를 보유한 에이전틱 플랫폼은 단일 유료 테넌트에 의해 완전히 손상됩니다.
공격 경로
활성 작업공간 내부의 셸에서 공격자는 앱 전체 CONTAINER_SHARED_SECRET(모든 컨테이너의 사용자 대상 환경에 주입됨)을 피어 작업공간의 /archive, /upload-file, /backup, /restore 또는 /bind 엔드포인트에 대한 Bearer 토큰으로 제시합니다. 인증 헬퍼 verifyContainerAuth()/authenticateWorkspaceHttp()는 작업공간/대상 바인딩 없이 시크릿을 허용합니다.
영향받는 시스템
Soft Machine(에이전틱 VM 기반 개발 환경/Cloud OS) 버전 0.2.247 및 이전
완화 방안
권고 GHSA-63gh-vp9f-vxhj에 따라 패치된 Soft Machine 릴리스(> 0.2.247)로 업그레이드하십시오. 그때까지 작업공간을 격리하고 공유 시크릿의 접근성을 제한하십시오.