Open Computer Use 密码管理器 Bundle ID 大小写绕过漏洞

Open Computer Use (open-codex-computer-use): password-manager denylist bypassed by a case-variant bundle id 漏洞概述 Open Computer Use 是一个 macOS 代理，提供 MCP 工具（如 、 、 等），用于驱动已安装的应用程序。它仅针对每个应用程序进行安全控制，根据项目 中的密码管理器 bundle IDs（如 1Password、Bitwarden、Dashlane、LastPass、NordPass、Proton Pass 等）进行限制。 该漏洞的关键在于： Denylist 是精确大小写敏感的： 进行精确字节比较。 唯一阻止发生在精确大小写的预检查中： 函数使用精确大小写检查。 解析器不区分大小写且不重新过滤： 函数使用 匹配 bundle ID，但不应用 过滤器。 解析后的描述符在没有二次检查的情况下被使用： 和 仅在 中出现， 调用 后直接使用返回的描述符进行 UI 操作。 影响范围 受影响版本：v0.3.6 和当前 分支。 影响类：CWE-178（处理大小写敏感性不当）、CWE-184（不完整 Denylist）、CWE-863（不正确授权）。 影响：通过简单的字符大小写变化，可以绕过所有八个列出的密码管理器的限制。代理可以获取应用程序的辅助功能树和屏幕截图，并针对其发出 UI 操作。 修复方案 1. 短期修复：在 denylist 检查中折叠大小写，以防止大小写变体通过。 2. 中期修复：在 bundle-id 分支即将返回时，重新应用 denylist 到描述符，以镜像名称分支的现有保护。 3. 深度防御：在 即将返回的描述符的规范 bundle ID 上重新检查 ，以确保任何未来的解析路径都由最终门覆盖，而不是依赖每个分支记住过滤器。 验证 静态审查了真实固定源加上惰性镜像测试，仅重现了两种源比较语义（ 精确大小写块和 bundle-id 分支，没有 过滤器）的合成描述符字符串。没有 macOS 应用程序、没有密码管理器、没有运行服务、没有凭据，也没有网络。 攻击流程 1. 前提条件：主机是 macOS。受害者运行 Open Computer Use 的本地 MCP 服务器（模型面向工具主机）并授予了辅助功能和屏幕录制权限。目标密码管理器（如 1Password）已在同一用户会话中运行。调用者可以是任何可以发出 到本地服务器的东西，包括提示注入的模型。Denylist 存在以限制此调用者。 2. 正常阻止（控制）：请求 被拒绝。 调用 ， 在集合中找到精确 ID，并抛出 。 3. 绕过：调用者随后发送 （规范 ID 的任何大小写变体）。调度器转发字符串不变。 4. 阻止错过：在 中， （来自 ）调用 ，其 是精确大小写。混合大小写字符串不在集合中，因此它返回 且不抛出异常。 5. 受保护的 App 解析： 看到点查询，进入 bundle-id 分支，并返回第一个运行描述符，其 （ ） 等于查询。此分支应用无 过滤器，因此阻止应用程序的描述符被返回。 6. 敏感操作： 使用此描述符（从 开始）构建辅助功能快照和屏幕截图，用于 ，并且相同的描述符支持 、 和其他所有操作，所有操作都针对被拒绝的密码管理器，没有进一步的 denylist 检查。 7. 范围：代理现在看到和做什么的。无论密码管理器当前在其 UI 中呈现什么（条目列表、揭示字段、填充字段）都作为辅助功能文本加上 PNG 返回，代理可以驱动其按钮和表单。实际暴露取决于应用程序是否解锁并显示秘密。此报告不声称凭据提取。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Open Computer Use 密码管理器 Bundle ID 大小写绕过漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Open Computer Use 密码管理器 Bundle ID 大小写绕过漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！