**Vulnerabilidad sin parche en Cursor permite ejecución remota de código mediante repositorios maliciosos**

## Introducción

En los últimos días, se ha reportado una grave vulnerabilidad sin parchear en Cursor, un popular editor de código utilizado por desarrolladores y equipos de ingeniería en entornos colaborativos. Este fallo de seguridad permite a un atacante ejecutar código arbitrario en los sistemas de los usuarios mediante la manipulación de repositorios, lo que eleva considerablemente el nivel de riesgo para organizaciones que confían en esta herramienta para la gestión de proyectos y revisión de código. En este artículo desglosamos los detalles técnicos del incidente, su impacto y las mejores prácticas recomendadas para mitigar la amenaza.

## Contexto del Incidente o Vulnerabilidad

Cursor se ha posicionado como una alternativa a editores tradicionales por sus funcionalidades avanzadas de integración con sistemas de control de versiones como Git. No obstante, investigadores de seguridad han descubierto que la aplicación ejecuta automáticamente archivos binarios presentes en la raíz del proyecto sin validación previa. En concreto, si un repositorio contiene un archivo ejecutable denominado `git.exe`, Cursor lo ejecuta de forma automática durante determinadas operaciones, lo que abre la puerta a la ejecución de payloads maliciosos.

El incidente es especialmente preocupante dado el auge de los ataques a la cadena de suministro de software y la creciente sofisticación de los ataques dirigidos a desarrolladores y plataformas CI/CD. Al tratarse de un vector que puede ser explotado simplemente por clonar o abrir un repositorio, el alcance potencial es significativo.

## Detalles Técnicos

La vulnerabilidad no parcheada afecta a todas las versiones de Cursor previas a una actualización que, hasta la fecha de redacción, no ha sido publicada por los desarrolladores. El fallo consiste en que Cursor busca y ejecuta automáticamente `git.exe` desde la raíz del directorio del proyecto, en lugar de restringirse al PATH del sistema o validar la autenticidad del binario.

– **CVE**: A la fecha, aún no se ha asignado un identificador CVE oficial.
– **Vectores de ataque**: El atacante crea o modifica un repositorio, añadiendo un archivo `git.exe` malicioso en la raíz. Cuando una víctima clona o abre el proyecto en Cursor, el editor ejecuta de inmediato el binario, otorgando al atacante la capacidad de ejecutar cualquier comando en el contexto del usuario.
– **TTP MITRE ATT&CK**:
– **T1204.002 (User Execution: Malicious File)**: El ataque se apalanca en la ejecución de archivos maliciosos por parte del usuario.
– **T1059 (Command and Scripting Interpreter)**: Permite la ejecución de comandos arbitrarios.
– **T1195.002 (Supply Chain Compromise: Compromise Software Dependencies and Development Tools)**.
– **Indicadores de Compromiso (IoC)**: Presencia de un archivo `git.exe` no legítimo en la raíz del repositorio, actividad inusual de procesos iniciados por Cursor, conexiones a direcciones IP sospechosas originadas tras la apertura de determinados proyectos.

Existen ya PoC (Proof of Concept) públicos y módulos de explotación adaptados para frameworks como Metasploit y Cobalt Strike, lo que facilita su integración en campañas de ataque automatizadas.

## Impacto y Riesgos

El impacto es crítico, ya que permite la ejecución de código arbitrario con los privilegios del usuario que ejecuta Cursor. Entre los riesgos destacan:

– **Compromiso total del host**: Un atacante puede instalar malware, exfiltrar credenciales, modificar código fuente, o desplegar backdoors.
– **Movilidad lateral**: Si el usuario tiene acceso privilegiado a otros sistemas o repositorios, el atacante puede escalar el ataque.
– **Ataques a la cadena de suministro**: Puede utilizarse como vector para comprometer proyectos de terceros.
– **Incumplimiento normativo**: En entornos sujetos a GDPR o NIS2, una brecha de este tipo puede suponer sanciones significativas y obligación de notificación.

Actualmente, no existen métricas oficiales, pero se estima que miles de instalaciones de Cursor están potencialmente expuestas, especialmente en entornos empresariales donde el trabajo colaborativo es intensivo.

## Medidas de Mitigación y Recomendaciones

Mientras no se publique un parche oficial, se recomienda:

– **Evitar la apertura de repositorios no verificados o de origen desconocido en Cursor**.
– **Auditar repositorios antes de abrirlos**: Revisar que no existan archivos ejecutables inesperados, especialmente `git.exe`.
– **Aplicar whitelisting de binarios**: Restringir la ejecución de binarios desde directorios de proyectos mediante políticas de seguridad (AppLocker, WDAC).
– **Monitorizar actividad sospechosa**: Emplear EDR y SIEM para identificar ejecuciones anómalas de procesos desde Cursor.
– **Actualizar Cursor**: Aplicar el parche tan pronto esté disponible y revisar las notas de la versión.
– **Formar a los usuarios**: Sensibilizar a los desarrolladores sobre los riesgos de la manipulación de repositorios y la importancia de la higiene en la cadena de suministro.

## Opinión de Expertos

Especialistas en ciberseguridad como Kevin Beaumont o la comunidad de analistas de SANS Institute han destacado el carácter crítico de la vulnerabilidad, subrayando que la automatización de la ejecución de binarios en entornos de desarrollo es una práctica obsoleta y peligrosa. Recomiendan a los equipos de desarrollo reforzar la revisión de dependencias y binarios en proyectos colaborativos, y demandan mayor transparencia y agilidad en la gestión de vulnerabilidades por parte de los proveedores de herramientas.

## Implicaciones para Empresas y Usuarios

Las empresas que utilicen Cursor en sus flujos de trabajo deben considerar esta amenaza como prioritaria dentro de su mapa de riesgos. Un ataque exitoso podría desencadenar filtraciones de datos, sabotaje de código y compromiso de infraestructuras críticas, con repercusiones económicas, legales y reputacionales. Además, la explotación del fallo podría facilitar ataques supply chain a clientes y partners, complicando aún más la contención y la respuesta.

## Conclusiones

La vulnerabilidad descubierta en Cursor pone de manifiesto la importancia de aplicar principios de seguridad by design en herramientas de desarrollo. Mientras no exista un parche oficial, la vigilancia proactiva, la capacitación y el endurecimiento de las configuraciones son las únicas barreras efectivas para mitigar el riesgo. Es imperativo que las organizaciones revisen sus políticas y procedimientos para evitar que una amenaza aparentemente trivial se convierta en la puerta de entrada a incidentes mucho más graves.

(Fuente: www.securityweek.com)