Apa yang terjadi
VulnCheck menerbitkan klaster CVE bypass persetujuan perintah Roo Code (mis., CVE-2026-110202 CVSS 8.8) pada 2026-10-13. Masing-masing adalah kelemahan berbeda dalam getCommandDecision()/parseCommandLine(): gerbang izin hanya mengklasifikasikan sebagian baris perintah shell, sehingga prefiks yang disetujui seperti "echo " menutupi perintah yang ditolak yang ditambahkan melalui redirect, penyamaran kutipan, substitusi ${...}, substitusi perintah yang berdekatan dengan glob, atau substitusi posisi perintah. Parser yang terpengaruh kemudian menyetujui otomatis kecocokan luar sementara shell menjalankan payload tersembunyi. Diverifikasi melalui NVD REST API (diterbitkan 2026-10-13, CVSS 8.8 v3.1, CWE-436).
Mengapa penting
Ini adalah kelas serangan eksekusi-agen baru dalam garis penelitian bypass-izin-bash yang sudah mapan: agen pengkodean AI dengan alat apa pun yang dapat menjalankan perintah shell menjadi eksekutor perintah yang dikendalikan jarak jauh ketika menelan teks yang tidak tepercaya. Untuk tim AI/keamanan, penyerang yang dapat menanam konten yang dibaca agen dapat diam-diam mencuri kredensial, mengkloning repositori, atau berpindah dari laptop — mencapai kelas kegagalan kepercayaan-agen yang sama yang telah menghasilkan kelemahan agen pengkodean yang terdaftar di KEV dan dieksploitasi secara luas. Klaster multi-CVE menunjukkan parser secara sistemik lemah terhadap kasus tepi metakarakter shell.
Vektor serangan
Injeksi prompt tidak langsung: konten berbahaya dalam file repositori, halaman yang diambil, atau keluaran alat menginstruksikan agen untuk menjalankan perintah shell. Penyerang membentuk perintah (prefiks redirect >& telanjang, pemisah yang ditutupi kutipan, substitusi ${...}, $() yang berdekatan dengan glob, atau $() posisi perintah) sehingga parser daftar-izin/izin menyetujui otomatis sementara shell mengeksekusi payload yang ditolak di mesin pengembang.
Sistem yang terdampak
Roo Code (agen pengkodean AI VS Code) hingga 3.54.0; ID saudara CVE-2026-110203/110204/110205/110206 dan bypass parseCommandLine terkait
Mitigasi
Perbarui Roo Code melewati 3.54.0; tidak ada rilis perbaikan yang dinyatakan dalam periode tersebut. Sampai ditambal, jangan jalankan agen terhadap repositori yang tidak tepercaya, nonaktifkan persetujuan otomatis perintah shell, dan perlakukan konten ruang kerja/yang diambil sebagai tidak tepercaya.