Goose ターミナル連携でシェル履歴の機密情報がLLMへ送信される
Summary
Goose のターミナル連携機能を有効にすると、シェルのコマンド履歴がマスキングされないまま、設定された LLM プロバイダーのエンドポイントに送信されるおそれがあります。ターミナルに入力された API トークンやパスワードなどの機密情報が外部へ漏えいする可能性があり、深刻度は High、CVSS v3 は 7.4 です。修正版の情報は確認できていないため、最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Goose のターミナル連携機能を有効にすると、シェルのコマンド履歴がマスキングされないまま、設定された LLM プロバイダーのエンドポイントに送信されるおそれがあります。ターミナルに入力された API トークンやパスワードなどの機密情報が外部へ漏えいする可能性があり、深刻度は High、CVSS v3 は 7.4 です。修正版の情報は確認できていないため、最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Red Hat | Red Hat Enterprise Linux 10 | — | — |
| Red Hat | Red Hat Enterprise Linux 9 | — | — |
Original description The description as published by the source.
A flaw was found in Goose. When the terminal integration feature is enabled, the application captures shell command history and sends it verbatim without sanitization to configured Large Language Model (LLM) provider endpoints during queries. If a user enters sensitive data—such as API tokens, passwords, or environment variables containing secrets—in the terminal, this unredacted information is transmitted across trust boundaries. This can lead to sensitive information disclosure, exposing confidential credentials to external service providers and logs.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web secalert@redhat.com
- web secalert@redhat.com
- web nvd.nist.gov
- web github.com