Недавно обнаруженная уязвимость в AI-кодировщике OpenCode дала возможность злонамеренным или захваченным серверам Model Context Protocol (MCP) запускать код на машинах разработчиков под управлением Windows или WSL в момент входа в систему. OpenCode подключается к серверам MCP для добавления внешних инструментов, и такой код выполнялся с правами доступа самого разработчика.

Компания Anomaly, разработчик OpenCode, выпустила исправление для этой уязвимости в версии 1.18.33, которое стало доступно на 1 сентября 2023 года. Уязвимость могла привести к серьезным последствиям, так как злоумышленники могли получить доступ к системам разработчиков и выполнять произвольный код, что ставило под угрозу безопасность данных и инфраструктуры.

Разработчики призываются обновить свои версии OpenCode до последней, чтобы защитить свои системы от возможных атак. Anomaly также рекомендует пользователям внимательно следить за подключаемыми серверами MCP и использовать только проверенные источники.

Уязвимость подчеркивает важность обеспечения безопасности в процессе разработки программного обеспечения, особенно при использовании внешних инструментов и сервисов. Такие инциденты напоминают о необходимости регулярного обновления программного обеспечения и мониторинга безопасности.

Anomaly продолжает работать над улучшением безопасности своего продукта и активно взаимодействует с сообществом разработчиков для повышения осведомленности о потенциальных угрозах и методах защиты от них.

Источник новости:
The Hacker News

Читать полностью