Claude Code eklentisinde kalıcı arka kapı tespit edildi
Öne çıkanlar
- Cursor Marketplace üzerindeki Claude Code 2.1.313 sürümünde gizli SSH arka kapısı bulundu.
- Zararlı kod sistem başlatıldığında devreye giren kalıcı servisler kurup saldırgan anahtarını yetkili anahtarlar dosyasına yazdı.
- Saldırganlar, bulut servislerine ait anahtar isimlerini toplayarak dış sunucuya HTTP üzerinden raporladı.
- Cursor, etkilenen eklenti sürümünü marketten, VSCode kayıtlarından ve NPM'den tamamen kaldırdı.
Siber güvenlik kuruluşu Phorion, Cursor Marketplace üzerinde yer alan resmi Claude Code for VS Code eklenti paketinde gizli bir arka kapı tespit etti. Güvenliği ihlal edilen 2.1.313 sürümünün macOS, Linux ve Windows yüklü sistemlere kalıcı SSH erişimi kurduğu belirlendi. İncelemenin ardından Cursor platformu ilgili sürümü pazar yerinden kaldırırken, NPM ve VSCode kayıtlarındaki ilişkili paketler de erişimden çekildi.
Zararlı kod, eklenti paketinin başına eklenen bir JavaScript bloğu aracılığıyla geliştirici arayüzü başlatıldığı anda devreye girdi. Saldırganlara ait bir Ed25519 genel anahtarını sistemdeki authorized_keys dosyasına yazan yazılım, harici bir sunucuya ters SSH tüneli açtı. Zararlı yazılım ayrıca ortam değişkenleri arasından AWS, GCP ve API anahtarı barındıran isimleri toplayarak saldırgan sunucusuna HTTP üzerinden tek seferlik keşif raporu gönderdi.
Araştırmacılar, macOS ve Windows tarafındaki bazı kodlama hataları sebebiyle SSH servisinin yetkisiz hesaplarda her zaman açılamadığını kaydetti. Yetki kısıtlamalarına rağmen bırakılan kalıcı servisler ve anahtarlar sebebiyle sistemlerin risk altında kaldığı bildirildi. Güvenlik uzmanları, söz konusu sürümün kullanıldığı sistemlerde eklentiyi silmenin tek başına yeterli olmadığını, arka plandaki servislerin, anahtarların temizlenmesi ve şifrelerin yenilenmesi gerektiğini aktardı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.