Egyes eszközökön tetszőleges kód futtatható és fájlok olvashatók a beágyazott böngészők miatt

A kutatók több népszerű AI-fejlesztőeszközben találtak közös kialakításbeli hibát, amely a beágyazott böngészőknek olyan képességeket adott, amik aláaknázzák a hagyományos böngészők fenyegetési modelljét – írta Gal Weizman, a Forever Security kutatója egy csütörtöki jelentésben.

Mit tudunk

Forever Security öt eszközben talált sebezhetőséget: Cursor, GitHub Copilot, Anthropic Claude Desktop, Microsoft VS Code és OpenAI Codex. A hibák három fő kockázatot eredményeztek: tetszőleges kód végrehajtását a hostgépen (Cursor), helyi fájlok olvasását és adatlopást (Claude Desktop, Codex, VS Code), valamint az URL-sáv hamisítását, amely megtévesztheti a felhasználót (Copilot).

A Cursor esetében a beágyazott böngésző lehetővé tette, hogy egy weboldal meghívja az ügynök komponensét, és a komponens a kapott utasításokat úgy kezeli, mintha a felhasználó adta volna meg őket. Weizman szerint ez prompt injection támadásokhoz vezethet, amelyek tetszőleges parancsok futtatását teszik lehetővé. A kutatók a hibát szeptember 10-én jelentették; a Cursor szerintük október 1-jén csendben javította a rést.

GitHub Copilotnál a beágyazott előnézeti böngésző megengedte egy oldalnak, hogy az alkalmazás számára megadja a saját URL-jét, anélkül hogy az app ellenőrizte volna a lap tényleges célját. Weizman szerint az app csak azt nézte, hogy a szöveg webcímnek tűnik-e (http, https vagy file), de nem ellenőrizte, hogy a fül hová mutat. Ezt azzal lehet visszaélni, hogy a címsávban egy valódinak látszó cím jelenik meg, miközben egy hamis oldal töltődik be. A kutatók a hibát szeptember 26-án találták; GitHub függetlenül javította a problémát egy október 13-i Copilot kiadásban.

Anthropic Claude Desktop, OpenAI Codex és Microsoft VS Code beépített böngészői lehetővé tették, hogy helyi HTML-fájlok a beágyazott környezetből kilépve hozzáférjenek további fájlokhoz. Claude Desktopnál és VS Code-nál a projektmappákhoz való hozzáférés korlátozása nem vonatkozott a web worker-ekre, így egy helyi oldal indíthatott egy munkást, amely megkerülte a korlátozásokat. Codexnál a kutatók szerint a helyi oldal közvetlenül is képes volt bármely fájl olvasására.

Előzmények

Forever Security négy hibát közvetlenül a érintett gyártóknak jelezte. GitHub a kutatók jelentése nélkül javította a Copilot hibát. Anthropicnak a kutatók július 23-án küldtek be jelentést; Weizman szerint Anthropic a Claude Desktop hibát érvénytelennek minősítette, arra hivatkozva, hogy a "workspace trust" egy biztonsági határ.

Mi következik

Weizman azt írta, hogy a hibák közös gyökere az, hogy az eszközök „kibővítették a beágyazott böngészők képességeit azon túl, amit egy normál böngésző enged”, és ezek a bővítések aláásnak bizonyultak. A kutatók szerint a sebezhetőségek elsősorban olyan fejlesztői konfigurációkat érinthetnek, ahol a beépített böngészők helyi fájlokhoz férnek hozzá vagy kiegészítő jogosultságokat kapnak.

A jelentés szerint egyes hibákat már javítottak, de Codex és VS Code sérülékenységeiről a forrás azt közölte, hogy még nem minden rést foltozták be, írja a TheRegister.