Cela permet aux attaquants d'exécuter des commandes shell arbitraires avec les privilèges de l'utilisateur actuel

🚨 Sévérité

Source : NVD / GitHub Advisory

🧠 Cause racine technique

Les versions vulnérables exposent automatiquement un service HTTP localhost sans authentification.

Comme le service accepte également les requêtes provenant de sources cross-origin permissives, toute page web malveillante peut déclencher des requêtes telles que :

Cela peut conduire à :

• l'exécution de commandes arbitraires
• le vol d'identifiants
• l'exfiltration de code source
• l'exposition de clés SSH
• le compromis de jetons cloud
• la persistance locale

💥 Impact

Une exploitation réussie peut entraîner :

• 🔓 Compromission complète de la station de travail du développeur
• 🗝️ Fuite de secrets (.env, SSH, jetons API)
• 📂 Accès non autorisé au code source
• ☁️ Détournement de session CLI cloud
• 🧪 Risques de compromission de la chaîne d'approvisionnement
• 🖥️ Exécution de shell arbitraire en tant qu'utilisateur connecté

📸 Capture d'écran

📦 Versions affectées

🛠️ Atténuation

✅ Correctif recommandé

Mettez à niveau immédiatement :

ou installez une version sûre :

🧱 Solutions de contournement temporaires

Si la mise à niveau n'est pas immédiatement possible :

• restreindre l'accès aux ports localhost
• isoler OpenCode dans un conteneur
• bloquer les requêtes localhost suspectes
• fermer les onglets de navigateur non fiables
• faire pivoter les identifiants exposés
• désactiver le CORS permissif si configurable

🔍 Conseils de détection

Indicateurs d'une exploitation possible :

• des commandes shell inhabituelles lancées par OpenCode
• des requêtes POST localhost suspectes
• des requêtes provenant du navigateur vers les ports d'OpenCode
• des accès inattendus à des fichiers dans les répertoires de projet
• des processus enfants de terminal anormaux

Télémétrie recommandée :

• surveillance de l'arborescence des processus EDR
• journaux d'accès HTTP localhost
• audit de l'exécution des shells
• télémétrie de sécurité du navigateur

🧪 Statut de la preuve de concept

⚠️ Des détails d'exploitation publics existent dans les discussions de l'avis.

Par souci de divulgation responsable et de sécurité, évitez de publier des PoC weaponisés dans des dépôts publics de production.

📚 Références

• Avis NVD Entrée CVE NVD
• Base OSV Entrée OSV
• Avis du fournisseur Avis de sécurité GitHub

⚖️ Avertissement

Ce dépôt est destiné à :

• la recherche en sécurité défensive
• la sensibilisation des blue teams
• la validation des correctifs
• la gestion des vulnérabilités
• la formation au développement sécurisé

N'utilisez pas ces informations sur des systèmes que vous ne possédez pas ou que vous n'êtes pas autorisé à tester.