CVE-2026-25130: Injeção de Comando do Sistema no Framework CAI na Ferramenta find_file
O framework CAI (Cybersecurity AI), nas versões até e incluindo a 0.5.10, repassa entrada controlada pelo usuário a comandos de shell por meio de suas function tools, o que o registro descreve como injeção de comando no sistema operacional. Segundo o registro, a ferramenta find_file é executada sem aprovação do usuário, o que poderia permitir que um atacante execute comandos arbitrários no host e contorne controles com humano no circuito. Um commit de correção é referenciado, mas o registro não informa o número de uma versão corrigida.
Visão geral
O registro descreve o framework CAI (Cybersecurity AI), voltado à segurança de IA, como contendo vulnerabilidades de injeção de argumentos em suas function tools. Segundo o registro, a entrada fornecida pelo usuário chega a comandos de shell por meio de subprocess.Popen com shell habilitado. O aviso do projeto é o GHSA-jfpc-wj3m-qw2m.
Impacto
- O registro afirma que um atacante poderia executar comandos arbitrários no sistema hospedeiro.
- A ferramenta find_file roda sem aprovação do usuário, pois find é tratado como comando seguro pré-aprovado, o que, segundo o registro, contorna as salvaguardas com humano no circuito.
- A CNA atribuiu pontuação base CVSS 3.1 de 9.6 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- O registro descreve como afetadas as versões até e incluindo a 0.5.10.
- A lista estruturada de itens afetados está vazia, portanto nomes de pacotes e intervalos exatos além dessa declaração são desconhecidos.
- Nenhuma versão corrigida é informada. Um commit de correção é referenciado: commit e22a1220.
Situação de exploração
- O catálogo KEV da CISA não lista esta CVE nos dados consultados.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Não há dados EPSS no registro.
Correção e mitigação
- Atualize o CAI para uma versão que inclua o commit e22a1220f764e2d7cf9da6d6144926f53ca01cde. O registro não informa o número da versão, então confirme no aviso do projeto.
- Enquanto não atualizar, limite ou desabilite a ferramenta find_file e outras function tools que aceitem entrada não confiável.
- Não confie apenas em listas de comandos permitidos quando argumentos chegam a um shell. Prefira execução sem shell e tratamento estrito de argumentos.
- Execute os processos de agentes com privilégios mínimos e em ambientes isolados.
Detecção
- Revise os logs de invocação de ferramentas em busca de padrões de argumentos inesperados em ferramentas de busca de arquivos.
- Monitore processos filhos inesperados iniciados pelo runtime do CAI.
- Audite as políticas de aprovação para confirmar quais comandos são pré-aprovados e se essa pré-aprovação é adequada.
Limitações das informações disponíveis
- O registro não informa número de versão corrigida nem lista completa de pacotes afetados.
- Não há telemetria de exploração além dos campos KEV e EPSS vazios.
- O status da fonte é Deferred. Verifique os detalhes no aviso do projeto e na entrada do NVD.
Perguntas frequentes
Quais versões do CAI são afetadas por esta CVE?
O registro informa que as versões até e incluindo a 0.5.10 são afetadas. A lista estruturada de itens afetados está vazia, então os limites exatos de pacote e versão devem ser confirmados no aviso do projeto.
Existe correção disponível?
O registro referencia o commit de correção e22a1220f764e2d7cf9da6d6144926f53ca01cde, mas não informa uma versão corrigida. Atualize para uma versão que inclua esse commit e confirme no aviso do fornecedor.
Há exploração conhecida desta CVE na natureza?
O catálogo KEV da CISA não a lista nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.