В opencode нашли RCE через MCP OAuth, исправление не было объявлено

Обнаружена критическая уязвимость в opencode

Pillar Security выявила критическую уязвимость удаленного выполнения кода (RCE) в opencode. Уязвимость затрагивает Windows и Windows Subsystem for Linux (WSL). Злоумышленник может использовать скомпрометированный или вредоносный удаленный сервер Model Context Protocol (MCP) для выполнения произвольного кода на машине разработчика. Атака происходит во время процесса удаленной аутентификации MCP OAuth. Для её осуществления не требуется дополнительное взаимодействие с пользователем или его согласие. Уязвимость позволяет злоумышленнику контролировать удаленный сервер MCP, который выполняет произвольный код на машине разработчика.

opencode использует MCP для взаимодействия с внешними системами

Opencode — это популярный open-source AI-агент для написания кода. Ежедневно им пользуются около 3 миллионов разработчиков, а на GitHub у проекта 211 000 звезд. Агенты для написания кода имеют доступ к локальным файлам и могут выполнять команды. Они работают с привилегиями разработчика. Model Context Protocol (MCP) связывает AI-агентов с внешними инструментами и сервисами. Это делает MCP важной частью корпоративной разработки с использованием ИИ. Уязвимость демонстрирует, что подключение AI-агента к скомпрометированному или вредоносному удаленному серверу MCP может привести к выполнению удаленного кода на машине разработчика. Атака не требует установки вредоносного ПО, эксплуатации AI-модели или обмана через промпт-инъекции.

Уязвимость CVE-2025-6514 затрагивает версии до 1.18.33

Уязвимость в opencode является частью более широкого класса проблем, которые были задокументированы в трех CVE в 2025 году. Рекомендуемые меры защиты, такие как проверка схемы URL, оказались недостаточными. Даже легитимный HTTPS URL может содержать вредоносную полезную нагрузку. Разработчик opencode, Anomaly, исправил проблему в версии 1.18.33, выпущенной 28 сентября 2026 года. Однако компания не выпустила бюллетень безопасности и не запросила CVE. Из-за этого стандартные сканеры уязвимостей и системы оповещения о зависимостях не идентифицируют затронутые установки. Предприятия могут не знать о необходимости обновления. Уязвимость CVE-2025-6514 была впервые обнаружена в 2020 году как проблема с обработкой URL, содержащих символ '$'. Позже, в 2023 году, она была переклассифицирована как уязвимость инъекции команд ОС. Три других CVE, CVE-2025-58062 и CVE-2025-10619, также связаны с этой уязвимостью. Исправление в версии 1.18.33 включает обновление зависимости open до версии 11.0.4, которая правильно обрабатывает аргументы PowerShell, заключая их в одинарные кавычки. Это предотвращает выполнение кода.

Обновиться до 1.18.33 или проверить серверы MCP

Организации, использующие opencode на Windows или WSL, должны обновиться до версии 1.18.33 или новее. Необходимо провести инвентаризацию затронутых установок. Команды безопасности должны оценить надежность подключенных серверов MCP. Следует убедиться, что приложения, обрабатывающие внешние URL-адреса, не передают недоверенный ввод в команды оболочки. Сервер MCP не обязательно должен быть вредоносным при настройке. Полезная нагрузка могла поступить в HTTP-ответе во время соединения. Последующий компромисс, перехваченная запись реестра, опечатка в доменном имени или истекший домен могли активировать тот же путь. Обновление зависимости open до версии 11.0.4 является полным исправлением. Эта версия заключает целевой URL в одинарные кавычки, что предотвращает выполнение подвыражений PowerShell. Проверку схемы URL, которую добавил Anomaly, не следует считать полным решением, так как она не блокирует вредоносные HTTPS URL.