Podatności OpenAI Codex CLI

OpenAI Codex CLI dla Windows, macOS i Linux oraz Codex Desktop dla Windows i macOS automatycznie zbierały metadane repozytorium Git bez wyłączania ustawienia core.fsmonitor specyficznego dla repozytorium. Jeśli użytkownik otworzy lub użyje przygotowanego repozytorium, którego zachowany plik .git/config ustawia core.fsmonitor na kontrolowany przez atakującego pomocnik monitorowania plików, Git może wykonać tego pomocnika podczas zbierania metadanych przez Codex. Pomocnik działa poza sandboxem Codex i bez monitu o zatwierdzenie przez użytkownika, co pozwala na wykonanie kodu kontrolowanego przez atakującego z uprawnieniami użytkownika. Kod może czytać, zmieniać lub usuwać pliki użytkownika oraz uzyskać dostęp do innych zasobów dostępnych dla konta użytkownika. Zwykły klon Git nie zachowuje lokalnego pliku .git/config repozytorium źródłowego; wykorzystanie wymaga repozytorium dostarczonego lub skopiowanego z nienaruszoną konfiguracją.

OpenAI Codex CLI dla Windows, macOS i Linux oraz Codex Desktop dla Windows i macOS błędnie klasyfikowały niektóre polecenia PowerShell jako bezpieczne, ponieważ ich parser bezpieczeństwa poleceń interpretował token zatrzymania parsowania (--%) inaczej niż sam PowerShell. Jeśli użytkownik otworzy przygotowane repozytorium i Codex postąpi zgodnie z jego instrukcjami, Codex może uruchomić polecenie Git zapisujące plik bez wymagania zgody użytkownika. Na macOS i Linux wykorzystanie dodatkowo wymaga osobno zainstalowanego PowerShell Core (pwsh). Jeśli ochrona systemu plików pozwala na zapis, polecenie może zmodyfikować konfigurację Codex. Jeśli Codex później załaduje zmodyfikowaną konfigurację, może uruchomić kontrolowany przez atakującego serwer MCP i wykonać kod z uprawnieniami użytkownika, co pozwala na czytanie, zmianę lub usuwanie plików dostępnych dla tego konta. Obejście zatwierdzenia nie wyłącza sandboxa systemu plików; domyślny sandbox na macOS i Linux może zapobiec zapisom poza dozwolonymi lokalizacjami.

W OpenAI Codex CLI w wersji 0.23.0 i wcześniejszych wykryto podatność umożliwiającą wykonanie kodu poprzez złośliwe pliki konfiguracyjne MCP. Atak następuje, gdy użytkownik uruchomi polecenie codex w spreparowanym repozytorium, a Codex automatycznie ładuje lokalne pliki .env i .codex/config.toml bez potwierdzenia użytkownika.