🔐 CVE-2026-22812 - OpenCode の認証なし HTTP サーバー → リモートコード実行（RCE）

---

CVE-2026-22812 に関するセキュリティアドバイザリ、技術分析、検出の手引き、および緩和策のメモ

📌 概要

CVE-2026-22812 は、1.0.216 より前のバージョンの OpenCode に影響する高深刻度のリモートコード実行（RCE） の脆弱性です。

この問題は、OpenCode が自動的に認証なしのローカル HTTP サーバーを起動し、以下の手段でアクセスできることに起因します。

• ローカルの悪意のあるプロセス
• 寛容な CORS を利用したブラウザタブ
• 注入された Web コンテンツ
• localhost へのクロスオリジンリクエスト

これにより、攻撃者は現在のユーザーの権限で任意のシェルコマンドを実行できる可能性があります。

🚨 深刻度

出典: NVD / GitHub Advisory

🧠 技術的な根本原因

影響を受けるバージョンは、認証なしで localhost HTTP サービスを自動的に公開します。

このサービスは寛容なクロスオリジンソースからのリクエストも受け付けるため、悪意のある Web ページが以下のようなリクエストをトリガーできます。

POST /session/:id/shell

これにより、以下が発生する可能性があります。

• 任意のコマンド実行
• 資格情報の窃取
• ソースコードの外部送信
• SSH キーの露出
• クラウドトークンの侵害
• ローカルでの永続化

💥 影響

悪用に成功した場合、以下をもたらす可能性があります。

• 🔓 開発者ワークステーションの完全な侵害
• 🗝️ 秘密情報の漏えい（.env、SSH、API トークン）
• 📂 許可のないソースコードへのアクセス
• ☁️ クラウド CLI セッションの乗っ取り
• 🧪 サプライチェーン侵害のリスク
• 🖥️ ログインユーザーとしての任意シェル実行

📸 スクリーンショット

📦 影響を受けるバージョン

Vulnerable: < 1.0.216
Safe:       >= 1.0.216

🛠️ 緩和策

✅ 推奨される修正

直ちにアップグレードしてください:

npm update opencode

または安全なバージョンをインストールします:

npm install [email protected]

🧱 一時的な回避策

直ちにアップグレードできない場合:

• localhost ポートへのアクセスを制限する
• OpenCode をコンテナ内に隔離する
• 不審な localhost リクエストをブロックする
• 信頼できないブラウザタブを閉じる
• 露出した資格情報をローテーションする
• 設定可能であれば寛容な CORS を無効化する

🔍 検出のヒント

悪用の可能性を示す兆候:

• OpenCode によって起動される不審なシェルコマンド
• 不審な localhost への POST リクエスト
• OpenCode のポートへのブラウザ発信リクエスト
• プロジェクトディレクトリ内での予期しないファイルアクセス
• 異常なターミナルの子プロセス

推奨テレメトリ:

• EDR プロセスツリーの監視
• localhost HTTP アクセスログ
• シェル実行の監査
• ブラウザセキュリティテレメトリ

🧪 PoC（概念実証）のステータス

⚠️ アドバイザリの議論に公開された悪用手法の詳細が存在します。

責任ある開示と安全性のため、実運用の公開リポジトリに武器化された PoC を公開しないでください。

📚 参考情報

• NVD Advisory NVD CVE エントリ
• OSV Database OSV エントリ
• Vendor Advisory GitHub Security Advisory

⚖️ 免責事項

このリポジトリは以下を目的としています:

• 防御的なセキュリティ研究
• ブルーチームの意識向上
• パッチの検証
• 脆弱性管理
• セキュアな開発の教育

所有している、またはテスト許可を得ているシステム以外でこの情報を使用しないでください。