무슨 일이 있었나
AgentScope의 MCP Workspace API는 공격자 영향 인수에서 하위 프로세스 명령을 구성하여 원격 OS 명령 주입을 가능하게 합니다(공개 PoC). 별도로, Agent Service는 호출자 제공 X-User-ID에서 현재 사용자를 확인하고(인증 누락), Bash 도구의 권한 검사가 2.0.8까지 버전에서 잘못되어, 제한된 명령을 실행할 수 있습니다.
왜 중요한가
AgentScope는 Bash 도구와 에이전트가 명령을 실행하는 MCP 워크스페이스를 갖춘 에이전트 런타임을 제공합니다. 이러한 결함으로 공격자는 운영 체제 명령을 주입하거나 모든 사용자로 가장하여 에이전트 도구를 실행할 수 있어, 에이전트와 자격 증명이 있는 호스트를 손상시킬 수 있습니다.
공격 경로
원격 공격자는 MCP Workspace API 명령 인수를 통해 OS 명령 주입을 트리거하거나, X-User-ID 헤더를 악용하여 Agent Service의 인증을 우회하거나, Bash 도구에서 기대보다 약한 권한 검사를 이용하여 차단되어야 할 명령을 실행합니다.
영향받는 시스템
AgentScope <= 2.0.11 (명령 주입, 인증 우회); <= 2.0.8 (Bash 도구 권한)
완화 방안
공개된 수정 사항 없음 — 수정 PR (agentscope#3448)이 승인 대기 중입니다; 패치된 릴리스를 모니터링하고, MCP 워크스페이스 및 Agent Service 엔드포인트의 노출을 제한하며, 신뢰할 수 없는 명령 문자열을 워크스페이스 API에 전달하지 마세요.