Minqiang Gui

Existe uma falha de bypass de aprovação de comando na função `parseCommandLine()`. Este problema permite que atacantes auto-aprovem comandos de shell arbitrários ao colocar uma substituição de comando na posição do comando. Ao utilizar injeção de prompt indireta, um atacante pode enviar comandos como `$(echo touch /tmp/x)` que ignoram a verificação da allowlist do `echo`, fazendo com que o shell execute a saída sem a aprovação do usuário.

Uma falha de bypass de validação de permissão permite que atacantes executem comandos não autorizados. Isso ocorre devido a uma discrepância de parsing entre o tree-sitter-bash e o bash ao lidar com continuações de linha backslash-newline na função ` extract commands()` do arquivo bash.py. Um atacante pode criar uma string de comando onde o tree-sitter-bash identifica apenas um prefixo permitido, como cd, enquanto o bash interpreta a continuação da linha como um comando diferente e oculto, como uma requisição curl. Isso faz com que o `resolve permission` conceda permissão total, resultando na execução de comandos arbitrários.

Uma falha de bypass no controle de permissões de comando permite que atacantes executem comandos arbitrários ao ocultar uma substituição de comando dentro de um valor de variável entre aspas simples. Esta técnica evita a detecção pelo parsing estático do tree-sitter-bash. Ao incorporar uma substituição de comando em uma variável entre aspas simples e reexpandi-la usando o operador de transformação de prompt `${var@P}`, o recurso promptvars do bash executa o comando oculto em tempo de execução. Isso ocorre enquanto apenas o comando permitido final é classificado, resultando na execução silenciosa de comandos arbitrários com os privilégios da sessão do terminal do agente.

Existe uma falha de bypass de aprovação de comando na função `getCommandDecision()`. Este problema permite que atacantes auto-aprovem comandos de shell que deveriam ser negados, prefixando-os com um redirecionamento `>&` simples. Ao utilizar injeção de prompt indireta, um atacante pode manipular a lista de permissões para corresponder a um alvo de redirecionamento, como `echo`, enquanto o shell executa o comando negado na máquina do desenvolvedor.

Existe uma falha de bypass de aprovação de comando devido ao abuso de regex de mascaramento de aspas na função `parseCommandLine()`. Isso permite que atacantes utilizem injeção indireta de prompt—uma técnica onde instruções maliciosas são incorporadas em dados processados pelo sistema—usando aspas duplas escapadas ou entre aspas simples. Ao ocultar separadores de comando atrás de prefixos permitidos, como echo, comandos de shell não autorizados podem ser executados sem a aprovação do usuário.

Existe uma falha de bypass de aprovação de comando onde a função `parseCommandLine()` trata incorretamente substituições `${ command; }` como expansões de parâmetros. Isso permite que atacantes usem injeção indireta de prompt para embutir comandos negados dentro de um comando permitido, como `echo`, possibilitando a execução de comandos de shell não autorizados sem a aprovação do usuário no bash 5.3+ ou ksh93.

Existe uma falha de bypass de aprovação de comando na função `parseCommandLine()`. O problema ocorre quando substituições de comando são colocadas próximas a caracteres glob `*` ou `?`, fazendo com que sejam descartadas durante a análise. Um invasor pode utilizar injeção indireta de prompt para criar comandos, como `echo *$(...)`, que parecem corresponder a prefixos permitidos. Isso permite a execução de comandos negados sem a aprovação do usuário quando o recurso de aprovação automática está ativado.

Uma divergência de limite de palavra no tratamento de comentários entre o analisador de shell do portão de aprovação e o bash permite a evasão das restrições de aprovação automática. Um invasor pode executar comandos de shell negados criando uma string de comando onde uma palavra permitida é seguida imediatamente por um caractere de cerquilha, um separador e o comando negado. Isso faz com que o portão de aprovação permita a solicitação, enquanto o bash executa o comando restrito usando os privilégios de autoexecução do agente na máquina do desenvolvedor.

Uma falha na lógica de análise de comandos do shell permite a evasão das restrições de aprovação automática. O problema decorre da omissão do operador de pipe do bash no conjunto de tokens de operador do analisador de comandos. Um invasor pode executar comandos de shell negados criando uma linha de comando que comece com um prefixo permitido, seguido pelo operador de pipe de redirecionamento de stderr e o comando negado. Isso faz com que o analisador aprove todo o pipeline, enquanto o bash executa o componente restrito usando os privilégios de auto-execução do agente na máquina do desenvolvedor.

Um problema com restrições de acesso foi corrigido por meio de limitações de sandbox aprimoradas. Um aplicativo pode potencialmente obter acesso não autorizado à Rede Local.