CVE-2024-45599

Cursor bir yapay zeka kod düzenleyicisidir. Versiyon 0.41.0 öncesinde, macOS üzerindeki bir kullanıcı Cursor'a kamera veya mikrofon erişimi vermişse, makinede çalıştırılan herhangi bir program, DYLD_INSERT_LIBRARIES ortam değişkenini kullanan bir DyLib Injection aracılığıyla, açıkça erişim izni verilmeden kamera veya mikrofona erişebilmektedir. `com.apple.security.cs.allow-dyld-environment-variables` ve `com.apple.security.cs.disable-library-validation` kullanımı, DYLD_INSERT_LIBRARIES ortam değişkeni kullanılarak uygulamaya harici bir dinamik kütüphanenin enjekte edilmesine izin verir. Ayrıca, `com.apple.security.device.camera` yetkisi uygulamanın ana bilgisayar kamerasını kullanmasına, `com.apple.security.device.audio-input` ise uygulamanın mikrofonu kullanmasına olanak tanır. Bu durum, eğer kullanıcı daha önce Cursor'a izin vermişse, kullanıcının makinesinde yürütülen güvenilmeyen kodların kamera veya mikrofona erişebileceği anlamına gelir. Versiyon 0.41.0'da yetkiler işlem bazında ayrılmıştır: ana işlem kamera ve mikrofon yetkilerini alır ancak DyLib yetkilerini almaz; uzantı ana bilgisayar işlemi (extension host process) ise DyLib yetkilerini alır ancak kamera veya mikrofon yetkilerini almaz. Geçici bir çözüm olarak, etkilenen makinede güvenilmeyen kullanıcılar rastgele komutlar çalıştırabiliyorsa, Cursor'a kamera veya mikrofona erişim izni vermeyin.