DuneSlide：Cursor IDEのゼロクリック・プロンプトインジェクションを介した2件の重大なRCE脆弱性

要約

Cato AI Labsは、広く利用されている開発環境「Cursor IDE」に、リモートコード実行（RCE）につながる2件の重大な脆弱性を発見しました。Cursorによると、同製品はFortune 500企業の半数以上で利用されています。「DuneSlide」と名付けたこの2件のRCE脆弱性は、いずれもCVSSスコア9.8と評価されています。IDEのサンドボックス環境を突破するもので、それぞれCVE-2026-50548およびCVE-2026-50549が割り当てられました。

これら2件の脆弱性は、プロンプトインジェクションがLLMの領域を超え、従来は攻撃対象として想定されていなかったコード処理経路に潜む、従来型の脆弱性を露呈させる可能性があることを示しています。

いずれかの重大な脆弱性が悪用されると、攻撃者は「cursorsandbox」バイナリなどの重要なシステムファイルを上書きできます。その結果、本来サンドボックス内で実行されるコマンドを、サンドボックスの制約を受けないリモートコード実行（RCE）へと変え、ホストマシンと接続されたSaaSワークスペースの両方を完全に侵害する可能性があります。

エグゼクティブサマリー

• 重大な脆弱性を発見： Cato AI Labsは、Cursor IDEに存在する2件の異なる重大な脆弱性を発見しました。これらの脆弱性により、ユーザーの端末上でサンドボックスの制約を受けないリモートコード実行（RCE）が可能になります。
• ゼロクリック・プロンプトインジェクションによる任意ファイルの書き込み：これらはそれぞれ独立したアーキテクチャ上の欠陥であり、攻撃者はゼロクリック・プロンプトインジェクションを利用して、開発者のローカルシステム上に任意のファイルを書き込むことができます。
• サンドボックスからの脱出とRCE：攻撃者は、これらの攻撃手法を利用してターミナルのサンドボックスを突破し、完全なリモートコード実行（RCE）を可能にすることで、システム全体を侵害できます。
• ゼロクリック攻撃： この攻撃には、事前に取得したユーザー権限や、特定のユーザー操作は必要ありません。被害者が一見無害なプロンプトを入力し、その処理過程でMCPサーバーやWeb検索結果など、信頼できない情報源から攻撃者が制御する不正なデータを意図せず取り込むことで、攻撃が実行されます。

技術的概要

Cursorのサンドボックスと攻撃経路

Cursor 2.xでは、ターミナルコマンドを標準でサンドボックス内から自動実行する機能が導入されています。この処理は、ユーザーに承認を求めることなく実行されます。この機能は、度重なる承認要求によるユーザーの負担を軽減すると同時に、攻撃者が単純なプロンプトインジェクションを容易にリモートコード実行（RCE）へ発展させることを防ぐために設計されています。

脆弱性 #1：作業ディレクトリのパラメータ操作

1つ目の脆弱性は、ツールのパラメータに基づいてサンドボックスのセキュリティ境界を構築する仕組みに起因します。サンドボックス内でコマンドが実行される際、Cursorは現在の作業ディレクトリへの書き込みを許可するSeatbeltポリシーを作成します。

• 標準では、コマンド実行時の作業ディレクトリとしてプロジェクトのルートディレクトリが設定されます。一方、working_directoryはrun_terminal_cmdツールの任意パラメータです。
• 問題は、LLMがこのパラメータに標準設定以外の値を指定した場合、そのパスが検証されることなく、サンドボックスの書き込み許可リストに追加される点にあります。
• 一見無害なMCPサーバーへのリクエストや、改ざんされたWeb検索結果を介して仕込まれたプロンプトインジェクションにより、LLMを誘導し、working_directoryにプロジェクトの範囲外にある攻撃者が指定したパスを設定させることができます。
• 攻撃者がcursorsandboxの実行ファイル（/Applications/Cursor.app/Contents/Resources/app/resources/helpers/cursorsandbox）を書き換えると、それ以降のコマンドはサンドボックスの制限を受けずに実行されます。そのため、同じプロンプトインジェクションに含まれる後続の指示によって、サンドボックス外でのリモートコード実行（RCE）が可能になります。
• このほか、~/.zshrc、~/.zshenv、~/Library/LaunchAgentsなどのパスも、この脆弱性の影響を受けます。

従来、リモートの攻撃者がサンドボックス内の処理における作業ディレクトリを制御することはできません。しかし、コーディングエージェントは従来のソフトウェアとは異なる特性を持っています。この脆弱性では、プロンプトインジェクションが、本来リモートの攻撃者からは到達できないコード処理へアクセスする経路となります。

脆弱性 #2：シンボリックリンクの正規化処理の不備

2つ目の脆弱性は、1つ目の脆弱性とはまったく別のもので、Cursorのファイルパス解決処理における例外的なケースに存在します。攻撃者はシンボリックリンクを利用して、許可された範囲外への書き込みを防ぐ保護機能を回避できます。

• 一見無害なMCPサーバーへのリクエストや、改ざんされたWeb検索結果を介したプロンプトインジェクションにより、Cursor Agentを誘導し、プロジェクトディレクトリ内に、プロジェクト外のファイルを参照するシンボリックリンクを作成させることができます。
• 通常、Cursor Agentはパスを正規化し、シンボリックリンクを解決することでファイルの実際の場所を特定し、そのファイルがプロジェクトのルートディレクトリ内に存在するかどうかを確認します。
• しかし、この正規化処理には危険なフォールバック処理が存在します。パスが存在しない場合や、パス上のいずれかのディレクトリに対する読み取り権限がない場合など、正規化に失敗すると、Cursorはプロジェクトディレクトリ内にある元のシンボリックリンクのパスを使用します。
• 攻撃者は、書き込み専用のシンボリックリンクを作成することで、Cursorにリンク先の実際のパスではなく、シンボリックリンク自体のパスを解決後のパスとして認識させることができます。その結果、最終的な書き込み先が許可された範囲外にあることを検知できなくなり、再びcursorsandboxの実行ファイル（/Applications/Cursor.app/Contents/Resources/app/resources/helpers/cursorsandbox）をリンク先として指定できるようになります。
• その後、攻撃者はWriteツールを使用し、シンボリックリンクを介してプロジェクト外にあるこのファイルを上書きします。これにより、同じプロンプトインジェクションの一環として実行される後続のコマンドに対してサンドボックスが機能しなくなり、リモートコード実行（RCE）につながります。

従来のソフトウェアでは、外部の攻撃者が被害者の端末上にリモートからシンボリックリンクを作成することは通常できません。しかし今回のケースでは、プロンプトインジェクションによってCursor Agentが攻撃の足掛かりとなり、通常は容易に実行できない操作を可能にすることで、最終的にシステム全体の侵害につながります。

脆弱性の報告と対応の経緯

Cato AI Labsは、AIエコシステム全体の安全性向上を重視しており、DuneSlideについても標準的な責任ある情報開示の手順に従って対応しました。

• 2月19日： 脆弱性をCursorチームに報告。
• 2月23日：脆弱性の報告が却下される。理由：Cursor側は、公式のLinear.appワークスペースのような標準的で無害な連携サービスであっても、MCPサーバーが悪用されるケースはCursorの脅威モデルの対象外であると説明。
• 2月26日：問題の重大性を踏まえ、2件の脆弱性をCursorのセキュリティチームに直接エスカレーション。同チームは報告を再度受理し、脆弱性の調査と優先度の評価を開始。
• 4月1日：Cursorチームが、作業ディレクトリに関する脆弱性の修正をCursor 3.0クライアントに実装すると確認。同バージョンは4月2日にリリース。
• 6月1日：Cursorチームが、リンク先に関する脆弱性の修正もCursor 3.0に実装済みであることを確認。
• 6月5日：CVE-2026-50548およびCVE-2026-50549が割り当てられ、これらの脆弱性が重大なものであることが確認される。

まとめ

DuneSlideは、LLMにコマンドを自律的に実行できる環境を与えることに伴う、アーキテクチャ固有の危険性を浮き彫りにしています。サンドボックスは不可欠な防御策ですが、パラメータ検証の不備や、ファイルパス解決処理における例外的なケースの欠陥は、ゼロクリック・プロンプトインジェクションによって、個別に存在する処理上の脆弱性が巧みに利用され、最終的にシステム全体の乗っ取りにつながる可能性があることを示しています。仮に、プロンプトインジェクションを介した侵害が今回の事例だけであれば、特定の脆弱性に起因する問題と考えることもできたでしょう。しかし、Cato AI Labsは現在、広く利用されているさまざまなコーディングエージェントで発見した脆弱性について、責任ある情報開示を進めています。これは、個別の脆弱性への対応だけではなく、より体系的な保護の仕組みが必要であることを示しています。今後の情報にもご注目ください。