Een kwetsbaarheid in de AI-codeertool OpenCode liet kwaadaardige of overgenomen MCP-servers code uitvoeren op het apparaat van een ontwikkelaar, op het moment van inloggen en met de rechten van die ontwikkelaar. Het lek trof alleen OpenCode op Windows en WSL; macOS en Linux waren niet geraakt. Beveiligingsbedrijf Pillar Security ontdekte het probleem, meldde het op 29 augustus privé bij de maker van OpenCode en maakte het op 19 oktober openbaar.
OpenCode maakt verbinding met MCP-servers (Model Context Protocol) om externe tools aan de agent toe te voegen. Bij het inloggen levert zo’n server zelf het webadres aan waar de ontwikkelaar naartoe wordt gestuurd. OpenCode gaf dat adres door aan de hulp-package “open”, die het in een browser opent, maar bouwde daar op Windows een PowerShell-commando omheen zonder het adres te ontsmetten. Een geprepareerd adres met een los commando erin werd daardoor gewoon uitgevoerd. Het lek triggert alleen als de ontwikkelaar zelf een login start, bijvoorbeeld via het commando opencode mcp auth; het enkel toevoegen van een server is niet genoeg.
Pillar Security beoordeelt het probleem als kritiek, met een voorgestelde CVSS-score van 9,8 op 10. Er is echter geen CVE-nummer toegekend en geen officiële beveiligingsadvisory gepubliceerd, waardoor scanners en dependency-waarschuwingen het lek niet oppikken. Volgens Pillar weigerde de maker van OpenCode alsnog een CVE aan te vragen, met het argument dat een kwaadaardige MCP-server buiten het eigen dreigingsmodel valt: door gebruikers zelf toegevoegde servers vallen volgens het beveiligingsbeleid “buiten onze vertrouwensgrens”.
Het probleem is inmiddels opgelost in OpenCode 1.18.33, uitgebracht op 28 september. Versies 1.0.137 tot en met 1.18.32 zijn kwetsbaar. De bijbehorende update werd aangekondigd als een refactor van de browser-opencode zonder dat beveiliging werd genoemd. Een vergelijkbaar lek in de onderliggende package “open” was al in 2023 gemeld en later opgelost, maar OpenCode gebruikte nog een oudere release daarvan. Er zijn geen aanwijzingen dat het lek in de praktijk is misbruikt.
Het is binnen een paar dagen het tweede, aparte beveiligingsincident rond OpenCode. Eerder berichtte deze site al over een datalek bij de gehoste OpenCode Console, waarbij gekoppelde API-sleutels van gebruikers werden buitgemaakt. Dat incident staat los van dit code-executielek via MCP-servers.
Gebruikt uw team OpenCode, werk dan bij naar versie 1.18.33 of hoger. Kan dat nu niet, verwijder dan alle MCP-servers uit de configuratie die niet volledig onder eigen controle staan, en controleer de huidige lijst met het commando opencode mcp list.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt uw ontwikkelteam OpenCode met externe MCP-servers? Update naar 1.18.33 en controleer regelmatig welke servers zijn gekoppeld met het commando opencode mcp list.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.