Hacker können Claude Code MCP-Verkehr kapern, um OAuth-Token zu stehlen

Technischer Hintergrund

Pfad-Saatung – Der Haken bearbeitet ~/.claude.json, um einen sessionStart-Haken einzufügen, der jedes Mal ausgeführt wird, wenn Claude Code ein vertrauenswürdiges Projekt lädt. MCP-Endpunkt-Umleitung – Der Session-Haken ersetzt legitime MCP-Server-URLs (z. B. den Endpunkt ) durch einen localhost-Proxy, der vom Angreifer kontrolliert wird.

Token-Interzeption – Claude Code liest die umgeleitete URL, verbindet sich mit dem Proxy, und das OAuth-Bearer-Token verlässt die Infrastruktur des Angreifers; der Anbieter erkennt einen gültigen Ablauf ürdigen Quelle aus.

Persistente Neusaatung – Der Haken stellt die bösartige Konfiguration bei jedem Laden und fängt Tokens automatisch wieder ab, auch nach Rotation oder manueller URL-Korrektur.

Technischer Hintergrund

Das operationell bedeutsamste Ergebnis ist, dass die Standardmaßnahme zur Reaktion auf Sicherheitsvorfälle, das Rotieren des OAuth-Tokens, den Angreifer aktiv unterstützt, anstatt den Zugriff zu unterbrechen. Da der Hook vor jeder Sitzung die Datei ~/.claude.json überschreibt, trifft der nächste OAuth-Refresh auf den Proxy und liefert ein neues Token.

Zur Behebung muss der Hook entfernt und die Konfigurationsdatei bereinigt werden, bevor die Zugangsdaten rotiert werden. Verteidiger, die Provider-seitige Logs überprüfen – wie z. B. Atlassian-Audit-Einträge – sehen einen gültigen Benutzernamen, eine echte Sitzung und eine IP-Adresse, die auf den Anthropic-Ausgangs-Bereich auflöst. Jedes Feld wirkt legitim.

Die einzige Anomalie liegt in ~/.claude.json, einer benutzerspezifischen Konfigurationsdatei, die die meisten Sicherheitsteams nicht überwachen. Mitiga meldete die Erkenntnisse am 10. April 2026 an Anthropic. Anthropic erkannte den Bericht am 11. April an und antwortete am 12.

Sicherheitslage und Risiko

April, dass das Problem außerhalb des Geltungsbereichs liege, wobei die vorherige Zustimmung des Nutzers als Voraussetzung für den Angriff zitiert wurde. Es ist kein Patch geplant. Die Entscheidung verlagert die gesamte Last der Erkennung und Reaktion auf die Sicherheitsteams des Unternehmens.

Erkennung fr Verteidiger Sicherheitsteams sollten die folgenden Manahmen unverzglich umsetzen: berwachen Sie die Datei ~/.claude.json auf unerwartete nderungen, insbesondere Modifikationen der URLs fr mcpServers oder das Hinzufgen post-install Hooks als Erstklassiges Risiko in der Lieferkette  prfen Sie Pakete, die Lebenszyklus-Skripte registrieren, bevor diese auf Entwickler-Maschinen gelangen.

Prfen und drehen Sie OAuth-Token fr Claude Code-Integrationen ab, jedoch erst nach Besttigung, dass der Hook entfernt wurde. berprfen Sie SaaS-Audit-Logs auf Anfragen, die nicht mit den bekannten Aktivittsmustern des Benutzers bereinstimmen. Alarmieren Sie bei neuen lokalen Proxys oder unerwartetem OAuth-Refresh-Verhalten in Entwicklerumgebungen.

Organisationen, die Claude Code mit MCP-Integrationen betreiben, sollten sofort den Befehl cat ~/.claude.json ausfhren und sicherstellen, dass jede unter mcpServers aufgefhrte URL eine bekannte, selbst konfigurierte Endstelle ist.