พบช่องโหว่บน Cursor และ Windsurf IDEs มากกว่า 94 รายการ ซึ่งมาจากช่องโหว่เก่าที่เกิดขึ้นใน Chromium

เวอร์ชันล่าสุดของ Cursor และ Windsurf ซึ่งเป็น integrated development environments (IDE) ถูกพบว่ามีช่องโหว่ด้านความปลอดภัย และได้รับการแก้ไขแล้วมากกว่า 94 รายการ ทั้งใน Chromium browser และ V8 JavaScript engine

โดยคาดว่ามีนักพัฒนาประมาณ 1.8 ล้านคน เป็นผู้ใช้งานหลักของ IDE ทั้งสองรายการนี้ ซึ่งกำลังตกอยู่ในความเสี่ยงจากช่องโหว่ดังกล่าว

นักวิจัยจาก Ox Security อธิบายว่า development environments ทั้งสอง ถูกสร้างขึ้นบนซอฟต์แวร์เวอร์ชันเก่า ซึ่งรวมถึง open-source Chromium browser และ V8 engine ของ Google ในเวอร์ชันที่ล้าสมัย

นักวิจัยระบุว่า Cursor และ Windsurf พึ่งพา VS Code เวอร์ชันเก่า ซึ่งมี Electron framework ที่ใช้สำหรับสร้างแอปพลิเคชันข้ามแพลตฟอร์มด้วยเทคโนโลยีเว็บอย่าง HTML, CSS และ JavaScript เวอร์ชันเก่ารวมอยู่ด้วย

นักวิจัยได้แชร์ข้อมูลให้กับ BleepingComputer โดยระบุว่า "เนื่องจาก Electron ได้ฝัง Chromium และ V8 ไว้ภายใน นั่นหมายความว่า IDE เหล่านี้กำลังพึ่งพา Chromium และ V8 engines เวอร์ชันที่ล้าสมัย ทำให้เสี่ยงต่อช่องโหว่ที่ได้รับการแก้ไขไปแล้วในเวอร์ชันที่ใหม่กว่า"

นักวิจัยระบุว่า Cursor และ Windsurf มีช่องโหว่อย่างน้อย 94 รายการที่มีอยู่ใน Chromium builds ที่พวกเขากำลังใช้งาน

แม้ว่าช่องโหว่ด้านความปลอดภัยนี้จะถูกเปิดเผยแล้ว ตั้งแต่วันที่ 12 ตุลาคมที่ผ่านมา แต่ความเสี่ยงดังกล่าวยังคงอยู่ เนื่องจาก Cursor มองว่ารายงานนี้ "อยู่นอกขอบเขต" และทาง Windsurf ก็ไม่ได้ตอบกลับแต่อย่างใด

ความเสี่ยงจาก Chrome ที่มีอยู่บน IDE

Cursor และ Windsurf เป็นโปรแกรม code editors ที่ขับเคลื่อนด้วย AI ซึ่งแยกมาจาก Visual Studio Code โปรแกรมทั้งสองได้ผสานรวม large-language models (LLMs) เพื่อช่วยให้นักพัฒนาเขียนซอฟต์แวร์ได้ง่าย และรวดเร็วยิ่งขึ้น

โปรแกรมเหล่านี้ถูกเผยแพร่ในรูปแบบของ Electron apps ซึ่งหมายถึง application runtime ที่รวมเอา Chromium build เวอร์ชันเฉพาะไว้ภายในเพื่อใช้ในการแสดงผลเนื้อหาเว็บ และยังรวม V8 JavaScript engine ของ browser ไว้ในไฟล์ binary ด้วย

Electron เวอร์ชันที่ปล่อยออกมาแต่ละรุ่นจะมีการ pins เวอร์ชันของ Chromium + V8 ไว้อย่างเฉพาะเจาะจง และหากผู้พัฒนาไม่อัปเกรดมัน ช่องโหว่ที่พึ่งถูกแก้ไขในเวอร์ชันที่ใหม่ ก็จะกลายมาเป็นความเสี่ยงที่สามารถถูกใช้ในการโจมตีภายใน IDE นั้นได้

Ox Security ได้สาธิตให้เห็นว่า เป็นไปได้ที่จะโจมตีช่องโหว่ Maglev JIT integer overflow หมายเลข CVE-2025-7656 ผ่านทาง deeplink โดยลิงก์ดังกล่าวจะสั่งให้โปรแกรม Cursor ทำงาน และ injects คำสั่งให้ browser ที่ซ่อนอยู่ภายในโปรแกรม เข้าไปยัง URL ที่ hosting payload สำหรับใช้ในการโจมตี

หน้าที่อยู่บน remote page จะส่ง JavaScript ที่ทำให้เกิดการโจมตีช่องโหว่ CVE-2025-7656 ซึ่งก่อให้เกิดการโจมตีแบบ denial of service โดยทำให้ renderer หยุดทำงาน

Nir Zadok และ Moshe Siman Tov Bustan จาก Ox Security ได้สาธิตการค้นพบของพวกเขาโดยมุ่งเป้าไปที่ Cursor IDE ด้วยการใช้โปรแกรมโจมตีสำหรับช่องโหว่ CVE-2025-7656 ซึ่งเป็นช่องโหว่ integer overflow ใน V8 engine ของ Google Chrome ที่ได้รับการแก้ไขไปแล้วเมื่อวันที่ 15 กรกฎาคมที่ผ่านมา

Proof-of-Concept ของการโจมตีครั้งนี้ ทำให้ Cursor ถูกโจมตีแบบ denial-of-service (crash) ดังที่แสดงในวิดีโอด้านล่างนี้ :
Link : https://vimeo[.]com/1129268637?fl=pl&fe=ti

อย่างไรก็ตาม Ox Security ได้ตั้งข้อสังเกตว่า ในการโจมตีจริงมีความเป็นไปได้ที่จะเกิดการเรียกใช้โค้ดที่เป็นอันตรายได้ด้วย

ผู้โจมตีจะมีหลายทางเลือกในการโจมตีช่องโหว่ดังกล่าว นักวิจัยระบุว่า ผู้โจมตีสามารถใช้ extension ที่เป็นอันตรายเพื่อการโจมตี หรือ inject โค้ดสำหรับโจมตีเข้าไปในเอกสาร และคู่มือการใช้งาน

แฮ็กเกอร์ยังสามารถอาศัยการโจมตีแบบ classic phishing หรือใช้การโจมตีจาก repository ที่ leverage poisoned โดยการฝังโค้ดที่เป็นอันตรายไว้ในไฟล์ README ซึ่งจะถูก previewed ภายใน IDE

Ox Security ตั้งข้อสังเกตว่า การโจมตีดังกล่าวใช้ไม่ได้ผลกับ VS Code เวอร์ชันล่าสุด ที่ได้รับการอัปเดตอย่างสม่ำเสมอ และแก้ไขช่องโหว่ทั้งหมดแล้ว

เมื่อได้รับรายงานการโจมตี proof-of-concept ดังกล่าว Cursor ได้ปัดตกรายงานนี้ โดยระบุว่า "การทำให้เกิด DoS (Denial of Service) ด้วยตนเองนั้น อยู่นอกขอบเขต"

นักวิจัยตั้งข้อสังเกตว่า Cursor มีท่าทีเมินเฉยต่อการโจมตีที่รุนแรงจากช่องโหว่ดังกล่าว ซึ่งรวมถึง memory-corruption primitives หรือแม้แต่ชุดช่องโหว่ CVE อื่น ๆ ที่ยังไม่ได้รับการแก้ไขอีกจำนวนมากในแอป Electron ที่ใช้งานอยู่

Ox Security ระบุว่า "นับตั้งแต่การอัปเดต Chromium ครั้งล่าสุดของพวกเขาเมื่อวันที่ 21-03-2025 สำหรับเวอร์ชัน 0.47.9 (ซึ่งใช้ Chromium 132.0.6834.210) ทำให้มีช่องโหว่ CVE อีกอย่างน้อย 94 รายการที่ถูกเผยแพร่ตั้งแต่นั้นมา เราได้ทดสอบใช้ช่องโหว่เพื่อโจมตีเพียงครั้งเดียวเท่านั้น แต่ attack surface นั้นใหญ่มาก"

ที่มา : bleepingcomputer