Uma falha no agente de codificação OpenCode permitiu que servidores MCP maliciosos ou comprometidos executassem código em máquinas Windows ou WSL de desenvolvedores durante o processo de login. O OpenCode se conecta a servidores MCP para adicionar ferramentas externas, e esse código seria executado com o acesso do próprio desenvolvedor. A empresa por trás do OpenCode, Anomaly, corrigiu a falha na versão 1.18.33 em setembro.
Detalhes Técnicos
A vulnerabilidade foi encontrada no agente de codificação OpenCode.
Permitia a execução de código malicioso por servidores MCP comprometidos durante o login de desenvolvedores.
O código malicioso seria executado com os privilégios do desenvolvedor.
A falha foi corrigida na versão 1.18.33 do OpenCode.
Ações Recomendadas
Atualizar o OpenCode para a versão 1.18.33 ou superior.
Verificar se há atividades suspeitas em logs de acesso e uso de ferramentas.
Implementar medidas de segurança adicionais para monitorar e restringir conexões a servidores MCP.
Próximo passo
Verificar a versão do OpenCode em uso e realizar a atualização se necessário.
