OpenCode: luka w połączeniu MCP pozwala uruchamiać polecenia w Windows

Połączenie podatnego OpenCode ze złośliwym serwerem MCP może zakończyć się wykonaniem poleceń na komputerze programisty. Pillar Security ujawnił problem 19 października. Dotyczy on Windows i WSL, a poprawkę zawiera OpenCode 1.18.33.

Jak dochodzi do ataku

Problem występuje podczas uwierzytelniania OAuth przy połączeniu ze zdalnym serwerem MCP. Serwer kontrolowany przez napastnika może przekazać spreparowany adres, który trafia do mechanizmu otwierania przeglądarki. Sposób obsługi tego adresu w podatnej zależności pozwala uruchomić polecenia.

Według badaczy po rozpoczęciu takiego połączenia nie jest potrzebna dodatkowa zgoda użytkownika. Nie chodzi tu o nakłonienie modelu AI do wykonania niepożądanej instrukcji, lecz o błąd w oprogramowaniu obsługującym integrację.

Kogo dotyczy problem

Badacze wskazują OpenCode od 1.0.137 do 1.18.32 na Windows i WSL. Według ich ustaleń instalacje macOS i Linux nie są dotknięte tym konkretnym mechanizmem ataku.

Poprawione wydanie 1.18.33 ukazało się 28 września. Świeżą informacją jest publiczne ujawnienie znaczenia tej zmiany dla bezpieczeństwa. Problem nie otrzymał numeru CVE, co utrudnia poleganie wyłącznie na automatycznych wykazach podatności.

Co zrobić teraz

• Sprawdź wersję OpenCode na stacjach programistów, również wewnątrz WSL.
• Zaktualizuj podatne instalacje do wydania 1.18.33 lub nowszego.
• Jeżeli aktualizacja jest odłożona, usuń z konfiguracji niezweryfikowane zdalne serwery MCP.
• Ustal, kto może dodawać integracje i jakie zasoby są dostępne dla narzędzia.
• Przy podejrzanym połączeniu zabezpiecz dzienniki i sprawdź procesy uruchamiane na koncie użytkownika.

Komentarz SecurHUB

Narzędzia programistyczne korzystające z AI należy uwzględniać w inwentaryzacji oprogramowania i przeglądach uprawnień. Audyt bezpieczeństwa może objąć również integracje MCP oraz dostęp takich narzędzi do kodu i danych uwierzytelniających.

Źródła: Pillar Security, The Injection