Claude Code Desktop önizleme bölmesindeki açık verileri sızdırdı
Öne çıkanlar
- Uygulama, 256 kilobayttan büyük HTML dosyalarını güvenlik politikasından muaf tutulan yerel dosya protokolüyle çalıştırdı.
- Zararlı komut dosyaları kullanıcıdan ek izin istemeden SSH ve bulut erişim anahtarlarını dış sunucuya aktardı.
- Anthropic, CVSS 8.7 puanı verilen açığı 1.30096.1 sürümüyle tamamen kapattı.
Noma Labs araştırmacıları, Anthropic tarafından geliştirilen Claude Code Desktop uygulamasının önizleme bölmesinde kritik bir güvenlik açığı zinciri tespit etti. SneakPeek adı verilen bu zafiyet, saldırganların kurbanın yerel dosya sistemindeki hassas belgelere izinsiz erişmesine ve bunları dış sunuculara aktarmasına olanak tanıdı. Anthropic, sistemdeki zafiyeti CVSS 8.7 puanıyla yüksek öncelikli olarak sınıflandırdı ve etkisini ana makinede kod çalıştırmaya eşdeğer kabul etti.
Araştırmacılar, uygulamanın HTML dosyalarını işleme mekanizmasındaki güvenlik boşluklarını istismar etti. Sistem 256 kilobayt altındaki dosyaları data protokolüyle ve sıkı bir İçerik Güvenlik Politikası eşliğinde açarken, bu boyutu aşan dosyaları doğrudan geçici bir dizine yazarak yerel dosya protokolü üzerinden yükledi. Boyutu artırılan zararlı bir test raporu dosyası, güvenlik politikalarının devre dışı kalmasını sağladı. Dosya önizleme bölmesinde otomatik çalıştığında, arka plandaki komut dosyaları SSH anahtarları, bulut erişim belirteçleri ve kimlik bilgilerini topladı.
Anthropic açığa yönelik ilk yamayı yayımladı ancak araştırmacılar Web Worker bileşenlerini kullanarak koruma filtrelerini yeniden aştı. Şirket, ikinci bildirimin ardından güvenlik açıklarını tümüyle kapatan güncellemeyi Claude Desktop sürüm 1.30096.1 ile kullanıcılara dağıttı. Açığın tamamen giderildiği doğrulandıktan sonra zafiyet süreci kapatıldı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.