Una grave falla di sicurezza in OpenCode, popolare strumento AI per sviluppatori, è stata corretta senza un avviso pubblico, lasciando potenzialmente molti utenti esposti a rischi di esecuzione di codice remoto.
Una vulnerabilità critica che permetteva l'esecuzione remota di codice (RCE) è stata identificata e successivamente corretta in OpenCode, una piattaforma AI ampiamente utilizzata da sviluppatori di software. La gravità della falla, classificata con un punteggio CVSS di 9.8, risiede nella sua capacità di consentire a un attaccante di eseguire comandi arbitrari sulla macchina di uno sviluppatore, sfruttando il processo di autenticazione OAuth.
La falla, scoperta dai ricercatori di Pillar Security, interessava le versioni di OpenCode comprese tra 1.0.137 e 1.18.32, con un impatto specifico sui sistemi Windows e Windows Subsystem for Linux (WSL). L'attacco poteva essere innescato da un server malevolo che gestiva il protocollo Model Context Protocol (MCP). Durante la fase di autenticazione OAuth, se un utente si connetteva a un server MCP compromesso, codice dannoso poteva essere eseguito sul suo computer senza richiedere ulteriori interazioni o consensi.
I ricercatori di Pillar Security hanno segnalato la vulnerabilità in modo privato tramite GitHub Security Advisory alla fine di agosto 2026. Dopo circa un mese, Anomaly, l'azienda dietro OpenCode, ha confermato la ricezione del report, pur considerando i server MCP malevoli al di fuori del loro "threat model" (modello di minaccia).
Anomaly ha rilasciato una patch per la vulnerabilità il 28 settembre, aggiornando il software alla versione 1.18.33. Tuttavia, la correzione è avvenuta senza l'emissione di un avviso di sicurezza dedicato o l'assegnazione di un codice CVE (Common Vulnerabilities and Exposures). Questa mancanza di comunicazione pubblica solleva preoccupazioni significative. Come sottolineato dai ricercatori di Pillar Security, gli strumenti convenzionali di scansione delle vulnerabilità e gli allarmi di dipendenza non sono in grado di rilevare le installazioni interessate. Di conseguenza, le aziende potrebbero rimanere ignare della necessità di aggiornare il software, esponendo i propri sviluppatori a potenziali attacchi.
I ricercatori di Pillar Security hanno inoltre evidenziato che la soluzione implementata da Anomaly, basata sulla validazione degli schemi degli URL, potrebbe non essere sufficiente a mitigare completamente il rischio. La loro analisi indica che un payload malevolo può essere nascosto all'interno di un URL HTTPS apparentemente legittimo. Su Windows, la dipendenza vulnerabile passava l'URL a PowerShell senza un'adeguata sanificazione, permettendo all'interprete dei comandi di eseguire parte dell'URL come istruzione.
La vera correzione, secondo Pillar Security, risiede nell'aggiornamento della dipendenza a una versione che gestisca correttamente l'escape degli URL. Questo impedisce a PowerShell di interpretare il payload come codice eseguibile. Gli esperti raccomandano agli sviluppatori di evitare, ove possibile, di passare URL non attendibili direttamente a comandi shell. In alternativa, suggeriscono di utilizzare l'esecuzione di processi basata su argomenti, una pratica che riduce il rischio di command injection.
È importante notare che questa vulnerabilità RCE non è correlata a un precedente incidente di sicurezza che ha interessato la "Console" di OpenCode, un sistema utilizzato per la condivisione di credenziali API centralizzate. Eilon Cohen, a capo della ricerca sulla sicurezza presso Pillar Security, ha chiarito che i due eventi sono distinti: il breach della Console ha riguardato un sistema legacy esposto tramite un proxy di chiavi, compromettendo le chiavi dei provider memorizzate dagli utenti. La vulnerabilità RCE, invece, opera in direzione opposta, permettendo a un server remoto malevolo di eseguire codice sulla macchina dello sviluppatore durante un handshake OAuth.
Nonostante le differenze tecniche, Cohen ha sottolineato un punto comune: la gestione delle credenziali e degli input forniti agli strumenti di codifica AI. La sicurezza di questi strumenti dipende in larga misura da chi viene autorizzato a fornire dati e da come questi dati vengono processati.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
