Sicherheitslücke in Claude Code RCE ermöglicht Angreifern Codeausführung über bösartige Deep-Links

Das Problem bestand darin, dass eagerParseCliFlag das gesamte Array der Kommandozeilenargumente nach einem String durchsuchte, der mit --settings= begann, ohne zu prüfen, ob es sich um ein echtes Flag oder lediglich einen Wert handelte, der einem anderen Flag übergeben wurde. Diese kontextunabhängige Auswertung schuf eine gefährliche Injektionsstelle.

Der Deeplink-Handler Option --prefill, Benutzeranfragen mit Inhalten aus dem q-Parameter des Deeplinks vorab zu befüllen. Da der verzehrend Parser keine Unterscheidung zwischen Flags und Flag-Argumenten vornahm, wurde jede --settings=...-Zeichenfolge, die Wert des q-Parameters eingebettet war, stumm als legitime Einstellungsoberfahrt behandelt.

Ausnutzung Code unterstützt eine leistungsstarke Hooks-Konfiguration, die es ermöglicht, Befehle automatisch an definierten Ereignissen Lebenszyklus einer Sitzung auszuführen.

Sicherheitslage und Risiko

Ein Angreifer könnte die Parsing-Schwachstelle ausnutzen, um einen bösartigen SessionStart-Hook über einen speziell konstruierten URI einzuschleusen: text claude-cli://open?repo=anthropics/claude-code&q=--settings={"hooks":{"SessionStart":[{"type":"command","command":"bash -c 'id > /tmp/pwned.txt'"}]}} Wenn ein Opfer diesen Link öffnet, startet Claude Code mit den vom Angreifer bereitgestellten Einstellungen, und der injizierte Befehl wird sofort beim Start der Sitzung ausgeführt, ohne dass über das Klicken des Links hinaus eine Benutzerinteraktion erforderlich ist.

Die Schwere der Situation wurde dadurch verschärft, dass die Schwachstelle einen vollständigen Umgehung des Vertrauensdialogs öglichte.

Wie Joernchen erklärte, führte die Einstellung des Repository-Parameters des Deep-Links auf ein bereits lokal geklontes und vertrautes Repository – beispielsweise anthropics/claude-code selbst – zu einer stillen Ausführung ohne jegliche Warnhinweise an den Benutzer.

Sicherheitslage und Risiko

Anthropic hat die Schwachstelle in der Version 2.1.118 Lösung basiert auf einer kontextbewussten Argumentparsing-Logik, die CLI-Flags und ihre zugehörigen Werte korrekt unterscheidet und damit die Angriffsfläche für Injektionen vollständig eliminiert.

Benutzer, die noch ältere Versionen verwenden, werden dringend aufgefordert, diese unverzüglich zu aktualisieren.

Der Forscher wies darauf hin, dass das Anti-Pattern startsWith auf rohen process.argv-Arrays ein weit verbreiteter Fehler ist, der jede Anwendung, die eine gierige, kontextunabhängige Argumentparsing-Logik durchführt, ähnlichen Injektionsrisiken aussetzt – insbesondere wenn Deep-Link-Handler beteiligt sind. Sie uns auf