🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O texto oculto em uma página da web foi suficiente para fazer com que o Kiro, o IDE de codificação agente da AWS, reescrevesse seu próprio arquivo de configuração e executasse o código de um invasor na máquina de um desenvolvedor, sem nenhuma etapa de aprovação capaz de impedi-lo.
A Intezer, em pesquisa com a Kodem Security, descobriu que uma solicitação tão comum quanto pedir a Kiro para resumir uma página poderia terminar na execução remota de código. A AWS corrigiu o problema e nenhum CVE foi atribuído a ele.
O modelo de segurança de Kiro depende de um clique humano em “permitir”. O agente pode executar comandos shell, buscar URLs e editar arquivos, e o design pressupõe que um desenvolvedor revise qualquer coisa arriscada antes que aconteça. Essa etapa de aprovação é o limite de segurança, e a falha permite que um invasor passe por ele sem que o desenvolvedor tenha escolha.
O ponto fraco foi o arquivo que informa ao Kiro quais ferramentas externas carregar. Kiro lê sua lista de servidores Model Context Protocol e o comando exato usado para iniciar cada um deles, em ~/.kiro/settings/mcp.json.
Quando esse arquivo é alterado, Kiro o recarrega e inicia tudo o que descreve, no host, com privilégios de desenvolvedor. No momento da pesquisa, Kiro poderia escrever em mcp.json sozinho com sua ferramenta fsWrite, sem necessidade de aprovação, e recarregá-lo automaticamente.
Qualquer um que pudesse influenciar o conteúdo desse arquivo poderia registrar um servidor cujo comando de inicialização fosse um código arbitrário, e ele seria executado no momento em que Kiro recarregasse.
Colocar o texto no contexto do Kiro é a parte fácil. O agente obtém conteúdo externo sempre que um desenvolvedor solicita que ele busque uma URL, leia a documentação ou pesquise na web. A prova de conceito do Intezer plantou suas instruções em texto branco de um pixel (color:#fff;font-size:1px) em uma página de documentação de API comum.
O desenvolvedor vê uma referência de API limpa. Kiro lê o bloco oculto como uma tarefa de configuração, grava o servidor malicioso em mcp.json e recarrega. Em segundos, o servidor não autorizado é iniciado e o código do invasor está em execução.
Na demonstração do Intezer, a carga telefonava para casa apenas com o nome do host, nome de usuário e plataforma da máquina a cada dez segundos, apenas o suficiente para provar a execução. A mesma primitiva poderia executar qualquer comando disponível para o desenvolvedor, o suficiente para roubar credenciais e código-fonte, plantar persistência ou girar em qualquer sistema interno que eles possam alcançar.
Os pesquisadores mantiveram seu retorno de chamada apontado para localhost para que nenhum usuário real do Kiro fosse exposto, e observaram que o ataque não é perfeitamente confiável: o modelo não é determinístico e pode resumir a página e ignorar o bloco oculto. Em seus testes, funcionou em uma ou duas tentativas. Basta um sucesso.
Kiro, em alguns casos, mostrou um pop-up informando que a configuração do MCP havia mudado e solicitando aprovação. Não fez diferença. A configuração foi recarregada independentemente do que o desenvolvedor clicou, portanto o aviso não ofereceu nenhuma proteção real. A única ação que o desenvolvedor realmente aprovou foi buscar um URL.
Kiro já esteve aqui antes
Um agente capaz de escrever o arquivo que controla o que ele pode executar já apareceu em Kiro antes. No dia do lançamento de Kiro em julho de 2025, Johann Rehberger do Embrace The Red mostrou o mesmo movimento de gravação para execução do mcp.json: uma injeção imediata colocou o código personalizado em um arquivo de configurações do MCP e o executou no momento em que o arquivo foi salvo.
Ele sinalizou uma segunda rota também, escrevendo para .vscode/settings.json para permitir comandos do shell. A resposta da AWS, Kiro 0.1.42, adicionou um prompt de aprovação para essas gravações, mas apenas no modo Supervisionado. O modo Autopilot padrão continuou gravando o arquivo sozinho, e esse é o modo. Corrente 2026 da Intezer usada. Nenhum CVE também foi emitido.
Outros encontraram versões vizinhas da mesma classe. Cymulate relatou que Kiro executaria automaticamente o código escrito em .vscode/tasks.json quando uma pasta fosse aberta. A AWS atribuiu CVE-2026-10591 (8,8 no CVSS 3.1, 8,6 no CVSS 4.0) e corrigiu-o na série 0.11.
A cadeia mcp.json da Intezer ainda estava ativa nas versões 0.9.2 (macOS) e 0.10.16 (Ubuntu) quando a empresa relatou isso em fevereiro de 2026, e foi confirmado corrigido na v0.11.130.
A resposta da AWS foi parar de confiar no julgamento do modelo sobre esses arquivos e mover a verificação para a plataforma. Kiro agora marca mcp.json, .vscode/tasks.json, o diretório .git e outros arquivos confidenciais como caminhos protegidos, cada um exigindo aprovação explícita antes da gravação.
Sua própria documentação deixa claro: "O modo supervisionado é um fluxo de trabalho de revisão de código, não um controle de segurança." A versão 1.0 que se seguiu se baseia mais no mesmo princípio, com um modelo de permissões baseado em capacidade que solicita consentimento sobre qualquer coisa que um desenvolvedor ainda não tenha permitido.
Essa combinação fecha a rota que o Intezer tomou: o Intezer confirmou que o ataque falhou em 0.11.130 e, ao contrário da correção de 2025, a verificação de caminhos protegidos é válida tanto no piloto automático quanto no modo supervisionado.
Intezer relatou o f
A Intezer, em pesquisa com a Kodem Security, descobriu que uma solicitação tão comum quanto pedir a Kiro para resumir uma página poderia terminar na execução remota de código. A AWS corrigiu o problema e nenhum CVE foi atribuído a ele.
O modelo de segurança de Kiro depende de um clique humano em “permitir”. O agente pode executar comandos shell, buscar URLs e editar arquivos, e o design pressupõe que um desenvolvedor revise qualquer coisa arriscada antes que aconteça. Essa etapa de aprovação é o limite de segurança, e a falha permite que um invasor passe por ele sem que o desenvolvedor tenha escolha.
O ponto fraco foi o arquivo que informa ao Kiro quais ferramentas externas carregar. Kiro lê sua lista de servidores Model Context Protocol e o comando exato usado para iniciar cada um deles, em ~/.kiro/settings/mcp.json.
Quando esse arquivo é alterado, Kiro o recarrega e inicia tudo o que descreve, no host, com privilégios de desenvolvedor. No momento da pesquisa, Kiro poderia escrever em mcp.json sozinho com sua ferramenta fsWrite, sem necessidade de aprovação, e recarregá-lo automaticamente.
Qualquer um que pudesse influenciar o conteúdo desse arquivo poderia registrar um servidor cujo comando de inicialização fosse um código arbitrário, e ele seria executado no momento em que Kiro recarregasse.
Colocar o texto no contexto do Kiro é a parte fácil. O agente obtém conteúdo externo sempre que um desenvolvedor solicita que ele busque uma URL, leia a documentação ou pesquise na web. A prova de conceito do Intezer plantou suas instruções em texto branco de um pixel (color:#fff;font-size:1px) em uma página de documentação de API comum.
O desenvolvedor vê uma referência de API limpa. Kiro lê o bloco oculto como uma tarefa de configuração, grava o servidor malicioso em mcp.json e recarrega. Em segundos, o servidor não autorizado é iniciado e o código do invasor está em execução.
Na demonstração do Intezer, a carga telefonava para casa apenas com o nome do host, nome de usuário e plataforma da máquina a cada dez segundos, apenas o suficiente para provar a execução. A mesma primitiva poderia executar qualquer comando disponível para o desenvolvedor, o suficiente para roubar credenciais e código-fonte, plantar persistência ou girar em qualquer sistema interno que eles possam alcançar.
Os pesquisadores mantiveram seu retorno de chamada apontado para localhost para que nenhum usuário real do Kiro fosse exposto, e observaram que o ataque não é perfeitamente confiável: o modelo não é determinístico e pode resumir a página e ignorar o bloco oculto. Em seus testes, funcionou em uma ou duas tentativas. Basta um sucesso.
Kiro, em alguns casos, mostrou um pop-up informando que a configuração do MCP havia mudado e solicitando aprovação. Não fez diferença. A configuração foi recarregada independentemente do que o desenvolvedor clicou, portanto o aviso não ofereceu nenhuma proteção real. A única ação que o desenvolvedor realmente aprovou foi buscar um URL.
Kiro já esteve aqui antes
Um agente capaz de escrever o arquivo que controla o que ele pode executar já apareceu em Kiro antes. No dia do lançamento de Kiro em julho de 2025, Johann Rehberger do Embrace The Red mostrou o mesmo movimento de gravação para execução do mcp.json: uma injeção imediata colocou o código personalizado em um arquivo de configurações do MCP e o executou no momento em que o arquivo foi salvo.
Ele sinalizou uma segunda rota também, escrevendo para .vscode/settings.json para permitir comandos do shell. A resposta da AWS, Kiro 0.1.42, adicionou um prompt de aprovação para essas gravações, mas apenas no modo Supervisionado. O modo Autopilot padrão continuou gravando o arquivo sozinho, e esse é o modo. Corrente 2026 da Intezer usada. Nenhum CVE também foi emitido.
Outros encontraram versões vizinhas da mesma classe. Cymulate relatou que Kiro executaria automaticamente o código escrito em .vscode/tasks.json quando uma pasta fosse aberta. A AWS atribuiu CVE-2026-10591 (8,8 no CVSS 3.1, 8,6 no CVSS 4.0) e corrigiu-o na série 0.11.
A cadeia mcp.json da Intezer ainda estava ativa nas versões 0.9.2 (macOS) e 0.10.16 (Ubuntu) quando a empresa relatou isso em fevereiro de 2026, e foi confirmado corrigido na v0.11.130.
A resposta da AWS foi parar de confiar no julgamento do modelo sobre esses arquivos e mover a verificação para a plataforma. Kiro agora marca mcp.json, .vscode/tasks.json, o diretório .git e outros arquivos confidenciais como caminhos protegidos, cada um exigindo aprovação explícita antes da gravação.
Sua própria documentação deixa claro: "O modo supervisionado é um fluxo de trabalho de revisão de código, não um controle de segurança." A versão 1.0 que se seguiu se baseia mais no mesmo princípio, com um modelo de permissões baseado em capacidade que solicita consentimento sobre qualquer coisa que um desenvolvedor ainda não tenha permitido.
Essa combinação fecha a rota que o Intezer tomou: o Intezer confirmou que o ataque falhou em 0.11.130 e, ao contrário da correção de 2025, a verificação de caminhos protegidos é válida tanto no piloto automático quanto no modo supervisionado.
Intezer relatou o f
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #falha #do #aws #kiro #permite #que #uma #página #da #web #envenenada #reescreva #sua #configuração #e #execute #o #código
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário