Descripción de la vulnerabilidad

OpenAI Codex CLI para Windows, macOS y Linux, así como Codex Desktop para Windows y macOS, presentan un fallo crítico en su mecanismo de clasificación de seguridad de comandos. El parser de seguridad de comandos interpreta el token de detención de análisis de PowerShell (--%) de forma diferente a como lo hace el propio intérprete PowerShell, lo que provoca que ciertos comandos PowerShell potencialmente peligrosos sean clasificados erróneamente como seguros.

Mecanismo de explotación

Si un usuario abre un repositorio preparado por un atacante y Codex sigue las instrucciones contenidas en dicho repositorio, Codex puede ejecutar un comando Git de escritura de archivos sin solicitar la aprobación del usuario. Este comportamiento elude el flujo de aprobación habitual que protege al usuario de operaciones no autorizadas.

En los sistemas macOS y Linux, la explotación requiere adicionalmente que PowerShell Core (pwsh) esté instalado de forma independiente e invocado durante el proceso. Esta condición adicional limita parcialmente la superficie de ataque en dichas plataformas, aunque no elimina el riesgo.

Impacto técnico

Si las protecciones del sistema de archivos lo permiten, el comando ejecutado puede modificar la configuración de Codex. Si Codex carga posteriormente la configuración modificada, puede lanzar un servidor MCP (Model Context Protocol) controlado por el atacante y ejecutar código arbitrario con los privilegios del usuario en sesión. Esto permite al atacante:

  • Leer archivos accesibles para esa cuenta de usuario.
  • Modificar archivos accesibles para esa cuenta de usuario.
  • Eliminar archivos accesibles para esa cuenta de usuario.

Limitaciones del vector de ataque

El bypass de aprobación no desactiva el sandboxing del sistema de archivos. El sandbox de sistema de archivos predeterminado en macOS y Linux puede impedir escrituras fuera de las ubicaciones permitidas, lo que actúa como control compensatorio en esas plataformas. Sin embargo, esta protección no está garantizada en todos los entornos ni configuraciones, y en Windows no se menciona una mitigación equivalente por sandbox.

Sistemas afectados

  • OpenAI Codex CLI en Windows, macOS y Linux.
  • OpenAI Codex Desktop en Windows y macOS.

Contexto y relevancia

Esta vulnerabilidad es especialmente relevante en entornos de desarrollo donde los usuarios abren repositorios de terceros o de origen desconocido. La cadena de ataque combina una clasificación errónea del parser con la capacidad de Codex de seguir instrucciones embebidas en repositorios, lo que convierte un repositorio malicioso en un vector de compromiso del entorno local del desarrollador. La posibilidad de lanzar un servidor MCP controlado por el atacante amplía significativamente el impacto potencial, ya que dicho servidor puede interactuar con herramientas y contextos adicionales del entorno de IA.