Podatności Roo Code

Roo Code w wersjach 3.26.6 i niższych używa w swoim przepływie GitHub niesanityzowanych metadanych pull requestów w uprzywilejowanym kontekście, co pozwala atakującemu na zdalne wykonanie kodu (RCE) na runnerze Actions. Przepływ ma szerokie uprawnienia i dostęp do sekretów repozytorium, co może prowadzić do pełnej kompromitacji repozytorium i powiązanych usług.

Roo Code do wersji 3.54.0 zawiera podatność na obejście zatwierdzania poleceń w parseCommandLine(), która pozwala atakującym na automatyczne zatwierdzanie dowolnych poleceń powłoki poprzez umieszczenie podstawienia polecenia w pozycji polecenia. Atakujący stosujący pośrednią iniekcję promptu mogą wysyłać polecenia takie jak $(echo touch /tmp/x), które przechodzą listę dozwolonych echo, powodując wykonanie wyniku bez zatwierdzenia przez użytkownika.

Roo Code do wersji 3.54.0 zawiera podatność na obejście zatwierdzania poleceń w parseCommandLine(), która odrzuca podstawienia poleceń umieszczone obok znaków glob * lub ?. Atakujący stosujący pośrednią iniekcję promptu mogą tworzyć polecenia takie jak echo *$(...), które pasują do dozwolonych prefiksów, wykonując zabronione polecenia bez zatwierdzenia użytkownika, gdy włączone jest automatyczne zatwierdzanie.

Roo Code do wersji 3.54.0 zawiera podatność na obejście zatwierdzania poleceń, która pozwala atakującym na uruchamianie zabronionych poleceń powłoki, ponieważ parseCommandLine() traktuje podstawienia ${ command; } jako rozwinięcia parametrów. Atakujący stosujący pośrednią iniekcję promptu mogą osadzić zabronione polecenia wewnątrz dozwolonego polecenia, takiego jak echo, aby wykonać je bez zatwierdzenia użytkownika na bash 5.3+ lub ksh93.

Roo Code do wersji 3.54.0 zawiera podatność na obejście zatwierdzania poleceń, która pozwala atakującym na automatyczne zatwierdzanie zabronionych poleceń powłoki poprzez nadużywanie regexu maskującego cudzysłowy w parseCommandLine(). Atakujący mogą użyć pośredniej iniekcji promptu z uciekającymi lub pojedynczo cytowanymi podwójnymi cudzysłowami, aby ukryć separatory poleceń za dozwolonymi prefiksami, takimi jak echo, wykonując polecenia bez zatwierdzenia użytkownika.

Roo Code do wersji 3.54.0 zawiera podatność obejścia zatwierdzania poleceń w funkcji getCommandDecision(), która pozwala atakującym na automatyczne zatwierdzanie odrzuconych poleceń powłoki poprzez poprzedzenie ich zwykłym przekierowaniem >&. Atakujący wykorzystujący pośrednie wstrzyknięcie promptu mogą sprawić, że lista dozwolonych poleceń dopasuje cel przekierowania, np. echo, podczas gdy powłoka wykonuje odrzucone polecenie na maszynie dewelopera.

Roo-Code do wersji 3.54.0 zawiera podatność obejścia automatycznego zatwierdzania, która pozwala atakującym na wykonanie zabronionych poleceń powłoki poprzez wykorzystanie niezgodności granic słów w obsłudze komentarzy między parserem powłoki bramki zatwierdzającej a bashem. Atakujący może skonstruować ciąg poleceń z dozwolonym słowem natychmiast po którym następuje znak hasha, separator i zabronione polecenie, aby przejść bramkę zatwierdzającą, podczas gdy bash wykonuje zabronione polecenie z uprawnieniami automatycznego wykonania agenta na maszynie dewelopera.

Roo-Code do wersji 3.54.0 zawiera podatność obejścia automatycznego zatwierdzania w logice parsowania poleceń powłoki, która pozwala atakującym na wykonanie zabronionych poleceń powłoki poprzez wykorzystanie pominięcia operatora potoku bash w zestawie tokenów operatorów parsera poleceń. Atakujący może skonstruować linię poleceń z dozwolonym prefiksem, po którym następuje operator potoku przekierowujący stderr i zabronione polecenie, powodując, że parser zatwierdza cały potok, podczas gdy bash wykonuje zabroniony komponent z uprawnieniami automatycznego wykonania agenta na maszynie dewelopera.

Podatność w RooCodeInc Roo-Code do wersji 3.51.1 dotyczy funkcji path.resolve w pliku src/core/tools/ApplyPatchTool.ts. Manipulacja powoduje path traversal. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Producent poinformował, że projekt nie jest już wspierany, więc podatność dotyczy tylko produktów, które nie są już wspierane przez opiekuna.

W Roo-Code do wersji 3.51.1 wykryto podatność w komponencie OAuth Callback (plik src/integrations/claude-code/oauth.ts), która powoduje przesyłanie wrażliwych informacji w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Projekt nie jest już wspierany przez autora.

Podatność w RooCodeInc Roo-Code do wersji 3.51.1 dotyczy funkcji fetch_instructions w pliku malicious_mcp_server.py w komponencie MCP Integration Trust Model. Manipulacja prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Producent poinformował, że projekt nie jest już wspierany, więc podatność dotyczy tylko produktów, które nie są już wspierane przez opiekuna.

Słabość w RooCodeInc Roo-Code do wersji 3.51.1. Dotyczy funkcji ExecaTerminalProcess komponentu README File Handler. Wykonanie manipulacji może prowadzić do wstrzyknięcia kodu. Atak może być wykonany zdalnie. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Producent nie wspiera już tego projektu.

Wada bezpieczeństwa w RooCodeInc Roo-Code do wersji 3.51.1. Dotyczy funkcji optimizeQuery w pliku src/utils/helpers.ts komponentu CodeIndexManager. Wykonanie manipulacji prowadzi do wstrzyknięcia kodu. Zdalne wykorzystanie ataku jest możliwe. Exploit został opublikowany i może być użyty do ataków. Producent nie wspiera już tego projektu.

Rozszerzenie Roo Code do wersji 3.54.0 zawiera podatność na wstrzykiwanie poleceń w funkcji auto-approve execute. Atakujący może ominąć reguły allowlist/denylist poprzez zagnieżdżanie podstawień poleceń w domyślnych wartościach rozwijania parametrów. Parser poleceń zastępuje rozwijanie parametrów przezroczystymi placeholderami przed wyodrębnieniem podstawień, co pozwala na ominięcie zabezpieczeń i wykonanie dowolnych poleceń.

Roo Code, autonomiczny agent kodujący oparty na AI, przed wersją 3.26.7 zawiera błąd walidacji umożliwiający automatyczne wykonanie poleceń niezgodnych z prefiksami listy dozwolonych. Luka została naprawiona w wersji 3.26.7.