무슨 일이 있었나
piflow 2.0.0부터 2.0.1까지는 DeepAgents 채팅 에이전트에 비인증 RCE가 존재합니다. POST /chat 및 POST /chat/stream 엔드포인트에 인증이 없으며, 공격자는 에이전트에게 exec_shell 도구를 호출하도록 지시할 수 있습니다. 이 도구는 인간 승인이나 허용 목록 없이 subprocess.run을 통해 임의 명령을 실행하며, LLM API 키 및 데이터베이스 자격 증명과 같은 환경 비밀을 노출합니다.
왜 중요한가
에이전트의 셸 도구는 인증 전에 접근 가능하므로, 원격 호출자가 데이터 파이프라인 채팅 에이전트를 명령 실행 프리미티브로 전환하여 보유한 LLM/DB 비밀을 읽을 수 있습니다. 다른 비인증 에이전트 셸 RCE와 동일한 클래스이지만 더 틈새 프로젝트에 해당합니다.
공격 경로
POST /chat 또는 /chat/stream에 대한 비인증 프롬프트가 exec_shell 도구를 구동
영향받는 시스템
piflow 2.0.0부터 2.0.1까지 (cas-bigdatalab)
완화 방안
수정된 릴리스로 업그레이드; /chat 엔드포인트에 인증 추가 및 exec_shell에 허용 목록/승인 게이트 적용