Un framework verifica le fughe di file negli strumenti locali

Quando viene approvata una chiamata a uno strumento locale, quell’approvazione limita davvero i file a cui il server può accedere? Se argomenti influenzati da un aggressore possono spingere uno strumento oltre l’ambito previsto, il contenuto dei file potrebbe essere esposto attraverso una normale risposta dello strumento. Il paper indaga come individuare e contenere questo problema.

MCP-FSD esamina i server locali, deduce i confini di accesso ai file e verifica se avvengono divulgazioni fuori ambito e se la sandbox le contiene.

MCP-FSD esamina i server locali, deduce un confine provvisorio di accesso ai file per ogni strumento e verifica se una credenziale inserita appositamente viene divulgata oltre quel confine e se la sandbox contiene il tentativo. Le verifiche valutano anche se un’operazione innocua e interna all’ambito riesce ancora.

Su 150 coppie uniche strumento-politica, tutte e tre le verifiche sono state superate. La corrispondenza esatta del marcatore della credenziale ha fornito riscontri per 136 casi; i 14 restanti sono stati valutati usando altri indizi nelle tracce delle interazioni, tra cui effetti collaterali di scrittura, cambiamenti nella struttura delle risposte o output di CLI esterne.

Nel complesso, questi risultati sostengono la conclusione che nei casi selezionati si sia verificato un trasferimento di capacità di accesso al file system oltre l’ambito previsto e che le politiche sandbox testate abbiano contenuto i tentativi preservando le operazioni innocue.

I risultati riguardano server che è stato possibile installare ed eseguire e usano confini dedotti, non regole di autorizzazione verificate in modo indipendente.

I test basati sulle risposte potrebbero non rilevare effetti sul file system che non compaiono in una risposta o che richiedono condizioni non riprodotte.