Traversée de répertoires à l’écriture via MCP : confinement du coffre notebook et périmètre d’Ansible Lightspeed

Ce que c'est

État au 25 octobre 2026. Consulter à nouveau les deux avis pour connaître les évolutions des plages de versions, des exigences de déploiement et des correctifs de l’extension. CVE-2026-61647 affecte @roomi-fields/notebooklm-mcp >= 1.6.0, < 2.0.3. Sa fonction d’export par lots permettait des écritures hors du coffre prévu. La version 2.0.3 ajoute un confinement, mais uniquement lorsque NOTEBOOKLM_VAULT_ROOT est configuré ; laisser cette variable non définie conserve le choix sans restriction de la destination. Avis du serveur notebook.

Red Hat décrit séparément CVE-2026-44192 comme une injection indirecte de prompt conduisant à une traversée de répertoires dans le serveur MCP d’Ansible Lightspeed. Sa déclaration concerne l’extension VS Code et précise que le code vulnérable est absent des artefacts distribués d’Ansible Automation Platform. Red Hat classe le problème à un niveau de gravité modéré, mais l’avis consulté ne fournit aucune plage de versions affectées ou corrigées de l’extension. Données de sécurité de Red Hat.

Pourquoi c'est important

Une destination suggérée par un agent reste une entrée externe. CWE-22 décrit l’incapacité à maintenir ces chemins dans un répertoire parent restreint. Convertir une chaîne en chemin absolu ne prouve pas qu’elle se trouve dans la racine autorisée. Résoudre les chemins avant validation et faire respecter la limite dans le service d’écriture de fichiers, et pas seulement dans le prompt de l’agent. CWE-22.

L’avis notebook décrit des écritures de contenu Markdown et JSON, et non une exécution automatique de code par ces fichiers eux-mêmes. Les investigations devraient établir ce qui a été écrit et si un autre composant l’a ensuite utilisé, plutôt que considérer tout document inattendu comme une preuve d’exécution de commandes.

Comment l'appliquer

• Dans le répertoire d’installation du serveur notebook, utiliser npm ls @roomi-fields/notebooklm-mcp --depth=0 ; utiliser la liste globale si l’installation a été faite globalement. Rapprocher le résultat du lanceur réellement utilisé et du fichier de verrouillage des dépendances. Une liste provenant d’un autre projet ne constitue pas l’inventaire de ce serveur. npm ls.
• Mettre les installations notebook affectées à niveau vers une version prise en charge contenant le correctif de 2.0.3. Définir NOTEBOOKLM_VAULT_ROOT=/srv/agent-vault dans l’environnement géré du serveur, en remplaçant le chemin par le répertoire de coffre approuvé, puis redémarrer le serveur. La racine configurée et la version du paquet en cours d’exécution constituent deux conditions d’acceptation distinctes.
• Exécuter le service d’écriture sous un compte dédié dont les droits d’écriture se limitent à sa zone de sortie. Examiner les anciens emplacements de sortie avant de rétablir le service normal. L’avis notebook recommande cet isolement par compte lorsqu’une mise à niveau immédiate est impossible.
• Pour l’extension Ansible, consigner la version installée et consulter Red Hat afin d’obtenir une remédiation confirmée. Dans l’attente de cette confirmation, désactiver l’intégration affectée lorsque son exposition ne peut pas être acceptée ; il s’agit d’une mesure de confinement opérationnelle, et non d’une solution de contournement certifiée par l’éditeur.
• Pour les nouveaux outils de fichiers, fixer la racine autorisée hors du contrôle du modèle. Valider la destination canonique par rapport à cette racine, limiter séparément les noms de fichiers et exiger une approbation pour les écrasements ou les nouvelles destinations autorisées. Renforcer ces contrôles par les permissions du système de fichiers.
• Vérifier les écritures permises dans un espace de travail isolé et confirmer que les tentatives vers des destinations refusées ne laissent aucun fichier. Préserver les fichiers inattendus et les enregistrements d’appels d’outils pertinents pour l’investigation. Reconstruire un environnement affecté si une configuration exécutable a été modifiée ou si une exécution non autorisée est établie.

Pièges

Un paquet corrigé dont l’option de confinement reste non définie ne respecte pas la limite prévue. À l’inverse, le fait qu’un paquet de la plateforme ne soit pas affecté ne permet pas de conclure pour une extension d’éditeur installée séparément. Ne pas déduire un correctif de l’extension à partir du numéro de version de la plateforme, ni remplacer la validation des chemins par une simple demande de prudence adressée au modèle.