OpenCode Remote Code Execution CVE-2026-22812 취약점 분석

Same-Origin Policy 예시: 웹사이트 A (https://attacker.com) │ │ fetch('http://127.0.0.1:4096/session') ← Cross-Origin 요청 │ ▼ 브라우저 검사 │ ├─ 서버 응답에 'Access-Control-Allow-Origin: *' 있음 │ │ │ ▼ │ 요청 허용! ← OpenCode의 문제점 │ └─ 서버 응답에 CORS 헤더 없음 │ ▼ 요청 차단 (정상 동작)

OpenCode 실행 │ ▼ cli/cmd/tui/worker.ts │ │ Server.listen() ← HTTP 서버 자동 시작 │ ▼ packages/opencode/src/server/server.ts │ ├─ .use(cors()) ← 과도한 CORS 정책 (Access-Control-Allow-Origin: *) │ ├─ 인증 미들웨어 없음 ← 인증 부재 │ └─ 위험한 엔드포인트 노출 ├─ POST /session/:id/shell ← 쉘 명령 실행 ├─ POST /pty ← 대화형 터미널 세션 생성 └─ GET /file/content?path= ← 임의 파일 읽기

// packages/opencode/src/server/server.ts import { cors } from 'hono/cors' const app = new Hono() // 취약점: 과도한 CORS 정책 // 모든 출처에서의 요청을 허용 (Access-Control-Allow-Origin: *) app.use(cors()) // 기본 설정: 모든 Origin 허용 // 취약점: 인증 미들웨어 없음 // 어떤 요청도 인증 없이 처리됨

// POST /session/:id/shell - 쉘 명령 실행 엔드포인트 app.post('/session/:id/shell', zValidator('param', z.object({ id: z.string() })), zValidator('json', z.object({ agent: z.string(), command: z.string() // 사용자 입력 명령어 })), async (c) => { const { id } = c.req.valid('param') const { agent, command } = c.req.valid('json') // 취약점: 인증 없이 임의의 쉘 명령 실행 const result = await executeShellCommand(id, agent, command) return c.json(result) } )

// GET /file/content?path= - 파일 내용 읽기 엔드포인트 app.get('/file/content', zValidator('query', z.object({ path: z.string() })), async (c) => { const { path } = c.req.valid('query') // 취약점: 인증 없이 임의의 파일 읽기 const content = await fs.readFile(path, 'utf-8') return c.json({ content }) } )

.use( cors({ origin(input) { // 1. Origin 헤더가 없으면 허용하지 않음 if (!input) return // 2. localhost 허용 (개발 환경) if (input.startsWith("http://localhost:")) return input // 3. 127.0.0.1 허용 (개발 환경) if (input.startsWith("http://127.0.0.1:")) return input // 4. Tauri 앱 허용 (데스크톱 앱) if (input === "tauri://localhost") return input // 5. *.opencode.ai 서브도메인만 허용 (HTTPS만) if (/^https:\/\/([a-z0-9-]+\.)*opencode\.ai$/.test(input)) { return input } // 6. 그 외 모든 출처 거부 return }, }), )

# 환경 변수로 서버 인증 설정 OPENCODE_SERVER_PASSWORD=your-secure-password opencode serve # 사용자명도 변경 가능 (기본값: opencode) OPENCODE_SERVER_USERNAME=admin OPENCODE_SERVER_PASSWORD=your-password opencode serve

# CLI 옵션으로 추가 출처 허용 opencode serve --cors http://localhost:5173 --cors https://app.example.com

// opencode.json 설정 파일 { "server": { "cors": [ "https://app.example.com", "http://localhost:5173" ] } }