Bir web sayfasındaki gizli metin, AWS'nin yapay zeka destekli kodlama IDE'si Kiro'nun kendi yapılandırma dosyasını yeniden yazmasına ve geliştiricinin makinesinde bir saldırganın kodunu çalıştırmasına yetiyordu. Üstelik hiçbir onay adımı bunu durduramıyordu.
Intezer, Kodem Security ile birlikte yürüttüğü araştırmada, Kiro'dan bir sayfayı özetlemesini istemek gibi sıradan bir talebin bile uzaktan kod çalıştırmayla sonuçlanabileceğini ortaya çıkardı. AWS sorunu giderdi ve bu açığa herhangi bir CVE numarası atanmadı.
Kiro'nun güvenlik modeli, bir insanın "izin ver" butonuna tıklamasına dayanıyor. Aracı, shell komutları çalıştırabiliyor, URL'leri getirebiliyor ve dosyaları düzenleyebiliyor. Tasarım gereği, geliştiricinin riskli herhangi bir işlem gerçekleşmeden önce bunu incelemesi bekleniyor. Bu onay adımı güvenlik sınırını oluşturuyordu ve açık, saldırganın geliştiriciye hiçbir seçenek sunulmadan bu sınırı aşmasına izin veriyordu.
Zayıf nokta, Kiro'ya hangi harici araçları yükleyeceğini söyleyen dosyaydı. Kiro, Model Context Protocol sunucularının listesini ve her birini başlatmak için kullanılan komutu ~/.kiro/settings/mcp.json dosyasından okuyor.
Bu dosya değiştiğinde, Kiro onu yeniden yüklüyor ve içinde ne tanımlanmışsa, geliştiricinin yetkileriyle ana bilgisayarda çalıştırıyor. Araştırma sırasında Kiro, fsWrite aracıyla mcp.json dosyasına herhangi bir onay gerektirmeden kendi başına yazabiliyor ve dosyayı otomatik olarak yeniden yükleyebiliyordu.
Bu dosyanın içeriğini etkileyebilen herkes, başlangıç komutu keyfi kod olan bir sunucu kaydedebilir ve bu kod, Kiro dosyayı yeniden yüklediği anda çalışırdı.
Metni Kiro'nun bağlamına sokmak kolaydı. Aracı, geliştirici bir URL getirmesini, dokümantasyon okumasını veya internette arama yapmasını istediğinde dışarıdan içerik çekiyordu. Intezer'in kanıt konsepti, talimatlarını sıradan bir API dokümantasyon sayfasındaki tek piksellik beyaz metne (color:#fff;font-size:1px) gizlemişti.
