Defekti i OpenCode lejoi që identifikimi në MCP të shkaktonte code execution në Windows
Defekti në OpenCode lejonte që një Model Context Protocol (MCP) server keqdashës ose i komprometuar, një shërbim i jashtëm që i ofron mjete një AI coding agent, të kryente code execution kur një zhvillues fillonte identifikimin në Windows ose Windows Subsystem for Linux (WSL). Komandat që pasonin ekzekutoheshin me të drejtat e vetë zhvilluesit, duke e bërë cenueshmërinë veçanërisht të rëndësishme në stacionet e punës që përdoren për të administruar software, faqe interneti ose infrastrukturë.
Anomaly, kompania pas OpenCode, e korrigjoi problemin në versionin 1.18.33 më 28 shtator. Versionet nga 1.0.137 deri në 1.18.32 janë të prekura. Meqë Anomaly nuk kërkoi një CVE, identifikuesin standard që zakonisht u caktohet cenueshmërive të sigurisë të gjurmuara publikisht, dhe nuk publikoi një njoftim sigurie, skanerët e cenueshmërive dhe sinjalizimet për varësitë nuk do t'i identifikojnë instalimet që mbeten të ekspozuara. Administratorët duhet ta kontrollojnë drejtpërdrejt versionin e instaluar të OpenCode.
Rruga e cenueshme niste gjatë një identifikimi në MCP. Serveri në distancë jepte një OAuth authorization endpoint, që është adresa e uebit e përdorur për të nisur një proces hyrjeje të bazuar në leje. Në Windows dhe WSL, OpenCode ia dërgonte këtë adresë një mjeti ndihmës për hapjen e browser. Ky mjet ndërtonte një komandë PowerShell rreth adresës, pa i neutralizuar në mënyrë të sigurt karakteret e posaçme në përmbajtjen e saj. PowerShell është një mjet i Windows për ekzekutimin e komandave dhe script-eve administrative. Për këtë arsye, një adresë e përgatitur posaçërisht mund të fuste dhe të ekzekutonte një komandë, në vend që thjesht të hapte faqen e synuar.
Kjo sjellje nuk aktivizohej vetëm duke konfiguruar një MCP server ose duke hapur një sesion të OpenCode. Një zhvillues duhej ta niste procesin e autentikimit duke ekzekutuar opencode mcp auth ose duke bërë kërkesën ekuivalente. Sulmuesit i duhej gjithashtu kontrolli mbi një MCP server në distancë që zhvilluesi e kishte shtuar më parë. Ky server nuk ishte e nevojshme të kishte qenë keqdashës kur u konfigurua fillimisht. Pillar Security paralajmëroi se një server që më parë ishte i ligjshëm mund të komprometohej më vonë ose domain i tij mund të ndryshonte pronësi, duke krijuar të njëjtin rrezik herën tjetër që një përdorues përpiqej të identifikohej.
Pillar Security e zbuloi cenueshmërinë, e raportoi privatisht më 29 gusht dhe e bëri publike më 19 tetor. Kompania e vlerësoi si kritike dhe propozoi një rezultat serioziteti prej 9,8 nga 10. Ajo nuk raportoi prova se sulmuesit e kishin shfrytëzuar defektin dhe nuk publikoi tregues që administratorët mund t'i përdornin për të kërkuar abuzime të mëparshme. Cenueshmëria prek Windows dhe WSL për shkak të mënyrës se si mjeti ndihmës për browser e trajtonte adresën në këto platforma. macOS dhe Linux nuk preken, sepse atje adresa hapet pa kaluar nëpër një command shell.
Rregullimi mbërriti pa u përshkruar si përditësim sigurie. Pull request që e përmbante u paraqit si një refactoring i kodit për hapjen e browser, ndërsa shënimet e versionit nuk përmendnin ndonjë cenueshmëri. Politika e sigurisë e Anomaly i vendos MCP servers të konfiguruar nga përdoruesi jashtë trust boundary të kompanisë. Sipas Pillar Security, Anomaly mbajti qëndrimin se një MCP server keqdashës ishte jashtë threat model të saj, edhe pasi Pillar i kërkoi kompanisë ta rishqyrtonte çështjen dhe të merrte një CVE. Anomaly ka publikuar njoftime për cenueshmëri të tjera të code execution në OpenCode, përfshirë një të korrigjuar në gusht.
Mjeti bazë ndihmës për browser është një package i përdorur gjerësisht me emrin open. Sjellja e tij në Windows u raportua si rrezik për command injection në vitin 2023 dhe package e korrigjoi problemin në versionin 11. OpenCode kishte vazhduar të përdorte një version më të vjetër. Megjithëse kontrolli që një adresë autorizimi fillon me HTTP ose HTTPS është një mbrojtje e zakonshme, vetëm ky kontroll nuk do ta parandalonte sulmin, sepse input-i keqdashës mund të vendosej brenda një adrese normale HTTPS. OpenCode shtoi një kontroll të tillë, por përditësimi në versionin e korrigjuar të open ishte ndryshimi që hoqi trajtimin e cenueshëm të komandave.
Një problem shumë i ngjashëm u shfaq në korrik 2025 në proxy mcp-remote. Ky defekt, i gjurmuar si CVE-2025-6514, lejonte gjithashtu që authorization endpoint i një serveri keqdashës të arrinte në një command line. Rasti i mëparshëm tregon se adresat e autentikimit të dhëna nga serverët e mjeteve në distancë mund të shndërrohen në një rrugë për code execution kur aplikacionet i kalojnë ato përmes një shell pa trajtim të sigurt.
Përdoruesit e Windows dhe WSL duhet të përditësojnë në OpenCode 1.18.33 ose version më të ri dhe të ekzekutojnë opencode mcp list për të shqyrtuar serverët e konfiguruar. Kushdo që nuk mund ta bëjë menjëherë përditësimin duhet të heqë MCP servers në distancë që nuk i ka verifikuar dhe të shmangë nisjen e autentikimit me ta. Meqë nuk pritet që skanerët t'i sinjalizojnë versionet e prekura të OpenCode, organizatat nuk duhet të mbështeten vetëm te njoftimet automatike për cenueshmëri në këtë rast.
Për ekipet që kanë nevojë për mbështetje në administrimin e mjeteve të zhvilluesve dhe integrimeve me palë të treta, AEU-I ofron IT, infrastrukturë dhe konsulencë që vendosin sigurinë në plan të parë. Kjo cenueshmëri e OpenCode është e ndarë nga një shkelje e sigurisë e OpenCode Console të hostuar, e bërë publike afërsisht në të njëjtën periudhë, e cila mund të ketë ekspozuar API keys të ruajtura të disa përdoruesve për OpenAI, Anthropic dhe Google.