Descripción de la vulnerabilidad

OpenAI Codex Desktop para Windows y macOS presenta una vulnerabilidad de ejecución de código arbitrario que se activa automáticamente cuando el usuario abre un espacio de trabajo. La aplicación inspecciona de forma automática los metadatos de Git y el estado del árbol de trabajo en el momento de apertura del repositorio, sin requerir ninguna interacción adicional por parte del usuario.

Mecanismo de explotación

Si el espacio de trabajo contiene un repositorio con un archivo .git/config controlado por un atacante y preservado intacto, la configuración del parámetro attr.tree junto con un filtro clean o process configurado puede provocar que Git ejecute un programa arbitrario controlado por el atacante.

Este programa se ejecuta completamente fuera del sandbox de comandos de Codex, con los privilegios del usuario autenticado en la sesión activa. El proceso ocurre sin que se muestre ningún aviso de confianza del espacio de trabajo, sin aprobación de comandos y sin ninguna interacción con el modelo de IA subyacente.

Impacto

Un atacante que logre explotar esta vulnerabilidad puede:

  • Leer, modificar o eliminar archivos accesibles para el usuario autenticado.
  • Acceder a credenciales y secretos disponibles en el entorno del usuario.
  • Ejecutar código arbitrario con los privilegios del usuario firmado en la aplicación, sin restricciones del sandbox de Codex.

Condiciones de explotación

Para que la explotación sea posible deben cumplirse las siguientes condiciones:

  1. Git debe estar disponible en el PATH del sistema operativo.
  2. El usuario debe abrir el repositorio preparado por el atacante con su configuración Git local intacta, es decir, con el archivo .git/config malicioso presente y sin modificaciones.

Es importante destacar que un git clone ordinario no copia el archivo .git/config del repositorio de origen, por lo que esta operación por sí sola no es suficiente para desencadenar la vulnerabilidad. El atacante necesita que la víctima abra un repositorio cuya configuración local haya sido preservada de forma íntegra, por ejemplo mediante la distribución directa de un archivo comprimido del repositorio o mediante otros mecanismos que conserven el directorio .git completo.

Plataformas afectadas

La vulnerabilidad afecta a OpenAI Codex Desktop en sus versiones para Windows y macOS.

Por qué importa

Esta vulnerabilidad es especialmente relevante porque el vector de ataque no requiere que el usuario ejecute ningún comando explícito ni apruebe ninguna acción. La simple apertura de un espacio de trabajo es suficiente para desencadenar la ejecución del código malicioso. Además, el hecho de que el proceso se ejecute fuera del sandbox de Codex y con los privilegios completos del usuario autenticado amplifica significativamente el impacto potencial, pudiendo comprometer credenciales, tokens de API y datos sensibles del entorno de desarrollo.