무슨 일이 있었나
CVE-2026-118687 (CVSS 6.5, CWE-441): Coder 2.29.21 이전, 2.30.0 < 2.34.12, 2.35.0 < 2.35.9, 2.36.0 < 2.36.7, 및 2.37.0 < 2.37.4는 POST /api/v2/workspaceagents/google-instance-identity에서 GCE 인스턴스 ID JWT의 오디언스 클레임을 검증하지 않습니다. 다른 신뢰 당사자를 위해 발급된 만료되지 않은 format=full ID 토큰을 얻은 공격자는 이를 재사용하여 해당 워크스페이스 에이전트의 세션 토큰을 얻을 수 있으며, 이는 워크스페이스의 다음 빌드까지 유효합니다.
왜 중요한가
Coder는 개발자/에이전트 워크스페이스 (AI 코딩 환경 포함)를 호스팅합니다; 검증되지 않은 오디언스는 다른 서비스를 위해 발급된 토큰이 재사용되어 워크스페이스 에이전트를 가장하고 해당 워크스페이스의 세션을 장악하여 내부의 코드와 자격 증명을 노출할 수 있게 합니다.
공격 경로
다른 신뢰 당사자를 위해 발급된 만료되지 않은 GCE 인스턴스 ID JWT를 가진 공격자가 이를 엔드포인트에 재사용하여 대상 워크스페이스 에이전트의 세션 토큰을 얻습니다.
영향받는 시스템
Coder (github.com/coder/coder) 2.29.21 / 2.34.12 / 2.35.9 / 2.36.7 / 2.37.4 이전 버전.
완화 방안
GHSA-24vh-q7rg-243w에 따라 Coder를 수정 릴리스 (2.29.21 / 2.34.12 / 2.35.9 / 2.36.7 / 2.37.4)로 업그레이드하십시오.