Google ha risolto due vulnerabilità di sicurezza nei suoi strumenti Gemini CLI e Cursor. La prima, con un punteggio CVSS di 10, consentiva l'esecuzione remota di codice (RCE) tramite l'interfaccia a riga di comando. La seconda falla, presente nell'editor Cursor, permetteva anch'essa l'esecuzione di comandi non autorizzati. Entrambe rappresentavano un grave rischio per sviluppatori e utenti, poiché un attaccante poteva compromettere i sistemi senza interazione da parte dell'utente.
Dettagli tecnici delle vulnerabilità corrette 🛡️
La vulnerabilità in Gemini CLI, classificata come critica, sfruttava un difetto nella gestione degli input utente per iniettare comandi arbitrari. In Cursor, l'errore risiedeva nella validazione insufficiente dei parametri durante l'elaborazione dei file, consentendo l'esecuzione di codice remoto. Entrambe le falle interessavano versioni recenti degli strumenti. Google raccomanda di aggiornare immediatamente alle versioni corrette. Non sono stati segnalati casi di sfruttamento attivo, ma il rischio era elevato a causa dell'uso diffuso di questi strumenti in ambienti di sviluppo.
Quando l'assistente di codice vuole fare l'hacker 😈
Quindi, secondo Google, i tuoi strumenti IA preferiti potevano trasformare il tuo terminale in un parco giochi per hacker. Il tutto senza che tu muovessi un dito. Gemini CLI e Cursor, progettati per aiutarti a programmare, hanno quasi contribuito a farti hackerare il sistema. Meno male che Google lo ha risolto prima che qualche furbetto decidesse che il tuo codice sorgente fosse un bel posto per una vacanza non autorizzata. Aggiorna, che l'IA è già abbastanza imprevedibile senza questi buchi.