Roo-Code, een geavanceerde AI voor autonome codering, heeft een ernstig beveiligingslek dat aanvallers in staat kan stellen om willekeurige code uit te voeren. Deze kwetsbaarheid, aangeduid als CVE-2025-57771, treft versies van Roo-Code eerder dan 3.25.5 en is van toepassing tijdens het automatisch uitvoeren van commando’s. Dit kan leiden tot ongeoorloofde toegang tot systemen zonder dat de gebruiker het weet.
Het probleem wordt voornamelijk veroorzaakt door een fout in de verwerking van processen en ampersand-tekens in de opdrachtparsingslogica. Aanvallers kunnen deze zwakte benutten als automatische goedkeuring voor uitvoering van een commando is ingeschakeld. Hoewel deze optie standaard is uitgeschakeld, blijft voorzichtigheid geboden.
Overzicht
De kwetsbaarheid heeft een CVSS-score van 8.1, wat betekent dat het als ‘hoog’ risico wordt ingeschaald. Het probleem stelt aanvallers zonder enige gebruikersinteractie of vereiste rechten in staat om willekeurige opdrachten uit te voeren. Deze aanvallen kunnen plaatsvinden via netwerktoegang, maar met een hoge complexiteit.
Aanbevelingen
- Upgrade onmiddellijk naar Roo-Code versie 3.25.5 of nieuwer om de kwetsbaarheid te verhelpen.
- Controleer of automatische goedkeuring voor commando-uitvoering niet onbedoeld is ingeschakeld.
- Zorg ervoor dat alleen vertrouwde partijen toegang hebben tot uw coderingsomgeving.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-57771?
CVE-2025-57771 is een geïdentificeerde kwetsbaarheid in de Roo-Code software waarbij de parsingfout bij automatisch uitvoeren van commando’s kan leiden tot ongeautoriseerde code-uitvoering.
Welke systemen zijn kwetsbaar voor CVE-2025-57771?
Alle Roo-Code installaties die draaien op versies lager dan 3.25.5 zijn kwetsbaar voor dit probleem.
Bestaat er al een patch of beveiligingsupdate?
Ja, het probleem is opgelost in versie 3.25.5 van Roo-Code.
Wat kan een aanvaller met deze kwetsbaarheid?
Met deze kwetsbaarheid kan een aanvaller willekeurige code op uw systeem uitvoeren zonder uw toestemming, wat kan leiden tot een volledige compromittering van uw gegevens en systeem.
