Выход за пределы каталога при записи файлов через MCP: границы хранилища notebook и охват проблемы в Ansible Lightspeed

Что это

Состояние на 25 октября 2026 года. Заново проверьте оба бюллетеня на предмет изменений диапазонов версий, требований к развёртыванию и исправлений расширения. CVE-2026-61647 затрагивает @roomi-fields/notebooklm-mcp >= 1.6.0, < 2.0.3. Функция пакетного экспорта позволяла записывать файлы за пределами предназначенного для них хранилища. Версия 2.0.3 добавляет ограничение записи, но только при настроенном NOTEBOOKLM_VAULT_ROOT; если параметр не задан, выбор места назначения остаётся неограниченным. Бюллетень сервера notebook.

Отдельно Red Hat описывает CVE-2026-44192 как косвенную инъекцию промпта, приводящую к выходу за пределы каталога в MCP-сервере Ansible Lightspeed. Заявление касается расширения VS Code и указывает, что в поставляемых артефактах Ansible Automation Platform уязвимый код отсутствует. Red Hat оценивает серьёзность как Moderate, но в рассмотренном бюллетене не приводит диапазонов затронутых или исправленных версий расширения. Данные Red Hat о безопасности.

Почему это важно

Предложенное агентом место назначения всё равно является внешними входными данными. CWE-22 описывает неспособность удержать такие пути в пределах ограничивающего родительского каталога. Преобразование строки в абсолютный путь не доказывает, что он находится внутри разрешённого корня. Разрешайте пути перед проверкой и обеспечивайте соблюдение границы в службе записи файлов, а не только в промпте агента. CWE-22.

Бюллетень notebook описывает запись содержимого Markdown и JSON, а не автоматическое выполнение кода самими этими файлами. При расследовании следует установить, что было записано и использовал ли это впоследствии другой компонент, а не считать каждый неожиданный документ доказательством выполнения команд.

Как применять

• В каталоге установки сервера notebook выполните npm ls @roomi-fields/notebooklm-mcp --depth=0; при глобальной установке используйте вывод глобального списка. Сопоставьте результат с фактическим средством запуска и файлом фиксации зависимостей. Список из другого проекта не отражает состав этого сервера. npm ls.
• Обновите затронутые установки notebook до поддерживаемого выпуска с исправлением из 2.0.3. Задайте NOTEBOOKLM_VAULT_ROOT=/srv/agent-vault в управляемом окружении сервера, подставив одобренный каталог хранилища, и перезапустите сервер. Настроенный корень и версия работающего пакета — отдельные условия приёмки.
• Запускайте компонент записи от выделенной учётной записи с правом записи только в область вывода. Перед восстановлением нормальной работы проверьте прежние места сохранения результатов. Бюллетень notebook рекомендует такую изоляцию учётной записи, когда немедленное обновление невозможно.
• Для расширения Ansible зафиксируйте установленную версию и обратитесь в Red Hat за подтверждённым способом устранения уязвимости. До его подтверждения отключите затронутую интеграцию там, где её подверженность риску неприемлема; это мера сдерживания со стороны оператора, а не подтверждённое производителем обходное решение.
• Для новых файловых инструментов задавайте разрешённый корень вне контроля модели. Проверяйте канонический путь назначения относительно этого корня, отдельно ограничивайте имена файлов и требуйте одобрения перезаписи или новых разрешённых мест назначения. Подкрепляйте эти проверки правами файловой системы.
• Проверьте разрешённую запись в изолированном рабочем пространстве и убедитесь, что попытки записи в запрещённые места не оставляют файлов. Сохраните неожиданные файлы и соответствующие записи вызовов инструментов для расследования. Пересоздайте затронутое окружение, если была изменена исполняемая конфигурация или подтверждено несанкционированное выполнение.

Подводные камни

Исправленный пакет с ненастроенным ограничением записи не обеспечивает предусмотренную границу. И наоборот, отсутствие уязвимости в пакете платформы ничего не говорит об отдельно установленном расширении редактора. Не выводите наличие исправления расширения из номера версии платформы и не подменяйте проверку путей просьбой к модели быть осторожной.