Cursorのセキュリティ不具合、信頼検証前にリポジトリからのコマンド実行を許してしまう

Cursorのコマンドラインコーディングエージェントに存在した欠陥により、クローンしたリポジトリが開発者に信頼するかどうかを尋ねられる前に、開発者のマシン上で任意のコマンドを実行できてしまうことが判明しました。しかも、サンドボックスを明示的に有効化していた場合でも、そのサンドボックスの外側で実行されていました。

Manifold Securityは、この問題を7月20日にCursorへ報告し、8月10日に調査結果を公開しました。Cursorは報告から3日後に、信頼確認前に実行されてしまう挙動への修正を配布しましたが、その後この報告を「informative」（セキュリティ上の影響なし)としてクローズし、アドバイザリは一切公開しませんでした。

Manifoldの攻撃的セキュリティエンジニアであるFrancisco Rosales氏は、この問題をエージェントの「isolated worktree」機能の中で発見しました。この機能は、AIエージェントを開発者の作業ツリーから隔離するために存在するものです。

リポジトリ起点のコード実行についてはこちらもご覧ください: Cursor Autorun Flaw Lets Repositories Execute Code Without Consent

同じディレクトリ、同じ攻撃プリミティブ

worktreeフラグを付けてエージェントを起動すると、ビルド成果物を含まない新しいチェックアウトが作成されるため、エージェントはデフォルトでセットアップ手順を実行します。この手順は、リポジトリ内で追跡されている設定ファイルを読み込み、その内容を解析もアローリストによるチェックも確認プロンプトも一切なしに、そのままシェルへ渡していました。

この設定ファイルは通常のクローン操作によって配置されるため、配布経路として特に不審な点はありませんでした。Manifoldが指摘したように、実行されるコマンドには何の制約もなく、SSH鍵の読み取り、環境変数からのクラウド認証情報の窃取、リバースシェルの開設、持続化のための書き込みなど、あらゆることが可能でした。

さらにこのセットアップ手順は、Cursorが内部でサンドボックスを完全に無効化する設定として名付けているポリシーの下で実行されており、この経路ではその値がハードコードされていました。サンドボックスを有効化するフラグを渡しても、これを上書きすることはできませんでした。

Cursorは、この種の問題を一度パッチ済みでした。2025年には、同じディレクトリ内にリポジトリ提供のファイルが置かれることで、開くだけで攻撃者のサーバーが自動起動してしまう問題があり、これはCVE-2025-64109として登録され、深刻度は8.8(High)と評価されました。worktree機能は、その修正から5カ月後にリリースされたものであり、同じ攻撃プリミティブを抱えたままでした。

3日で修正、その後「informative」としてクローズ

Manifoldは、概念実証(PoC)リポジトリと画面録画を添えて、HackerOne経由で報告を提出しました。7月23日には、セットアップコマンドを信頼確認プロンプトの後段に移動させた新しいビルドが公開されました。

その6日後、報告は「informative」としてクローズされました。Manifoldによれば、Cursorが挙げた理由は2点で、1つは悪用には利用者が攻撃者に管理されたリポジトリをクローンまたは開く必要があること、もう1つはこの報告がワークスペースの信頼機構の回避を実証していないことでした。

これに対しManifoldは、リポジトリをクローンすることこそがこの製品の本来の用途であり、それはCVE-2025-64109においても同様に前提条件だったと反論しました。両者の違いは、どのファイルがコマンドを運んでいたかという点だけであり、そのコマンドで何ができるかという点では違いはない、とManifoldは主張しています。

今回の修正にアドバイザリは付随しておらず、該当ビルドはCursorの7月の変更履歴にも記載が見当たりません。Manifoldは、Cursorがこれまでにもこのパターンについて2度アドバイザリを公開してきた実績があり、アドバイザリこそが影響を受けるバージョンを使い続けている利用者に届く唯一の手段であると指摘しています。

worktreeフラグを利用している開発者は、ビルド2026.07.23-e383d2b以降にアップデートするか、worktreeのセットアップ処理そのものをスキップする公式フラグを使用することが推奨されます。アップデートによって信頼確認前に実行されてしまう問題は解消されますが、サンドボックスの抜け穴は解消されず、Manifoldによれば現行ビルドにも依然として残っているとのことです。

Infosecurity Magazineはこの報告のクローズ経緯およびアドバイザリが公開されていない点についてCursorにコメントを求めており、回答があり次第この記事を更新します。