Krytyczna luka w OpenAI Codex CLI: jeden plik wystarczył do przejęcia komputera

OpenAI załatało krytyczną lukę w narzędziu Codex CLI, które ma wprowadzać modele AI bezpośrednio do terminala i pomagać programistom w pracy z kodem. Jak opisują badacze z Check Point Research, błąd oznaczony jako CVE-2025-61260 pozwalał na zdalne uruchamianie dowolnych komend na komputerze dewelopera bez jego wiedzy i zgody.

Problem wynikał z tego, w jaki sposób Codex CLI traktował pliki znajdujące się w repozytorium projektu. Narzędzie automatycznie wczytywało lokalne konfiguracje i środowisko uruchomieniowe, ufając im bez dodatkowych pytań. Zespół Check Point pokazał scenariusz, w którym do repozytorium trafiają niegroźnie wyglądające pliki .env oraz katalog .codex z plikiem config.toml. Po uruchomieniu polecenia „codex” CLI ładowało te pliki i wykonywało zapisane tam polecenia jako część zaufanej konfiguracji projektu.

W praktyce oznaczało to, że każdy, kto sklonował zainfekowane repozytorium i uruchomił Codex CLI, uruchamiał na swoim komputerze obcy kod. Badacze zademonstrowali to m.in. poprzez otwarcie kalkulatora oraz reverse shell, co pozwalało na zdalne przejęcie sesji i eksfiltrację danych z maszyny ofiary.

Zagrożenie jest szczególnie poważne, ponieważ deweloperskie stacje robocze często przechowują klucze API, tokeny chmurowe i klucze SSH, a także dostęp do systemów CI/CD i repozytoriów produkcyjnych. Udany atak mógł więc prowadzić do przejęcia tajnych danych, wstrzyknięcia złośliwego kodu do procesu buildowania i wdrożeń, a w konsekwencji do naruszenia wymogów regulacyjnych takich jak PCI-DSS, SOX czy GDPR.

Atak mógł być przy tym całkowicie niewidoczny dla zespołów. Wystarczały niewielkie zmiany w pull requeście albo podmiana pliku konfiguracyjnego po merge’u do popularnego repozytorium, szablonu projektu czy „startera”. Każdy kolejny użytkownik, który pobrał taki kod i uruchomił Codex CLI, automatycznie wykonywał przygotowane wcześniej polecenia.

Luka została opisana jako podatność typu command injection w konfiguracji MCP (Model Context Protocol), a jej waga została oceniona na poziomie krytycznym – w niektórych opracowaniach otrzymała wynik 9,8 w skali CVSS.

Check Point zgłosił problem OpenAI w sierpniu 2025 r. Według opisu badaczy, 20 sierpnia 2025 roku udostępniono wersję Codex CLI 0.23.0, w której zablokowano możliwość przekierowywania konfiguracji projektu za pomocą CODEX_HOME oraz automatycznego wykonywania poleceń z plików repozytorium. Testy przeprowadzone przez zespół potwierdziły, że poprawka skutecznie zamyka wektor ataku.

Eksperci Check Point zalecają, aby organizacje korzystające z Codex CLI jak najszybciej przeprowadziły aktualizację do wersji 0.23.0 lub nowszej oraz zwróciły uwagę na kontrolę tego, jakie pliki konfiguracyjne i środowiskowe są wciągane do repozytoriów wykorzystywanych w codziennej pracy zespołów deweloperskich i w pipeline’ach CI/CD.

Źródło: Check Point Research