Sicherheitslücke in Claude Code RCE ermöglicht Angreifern Codeausführung über bösartige Deep-Links

Sicherheitslage und Risiko

Ein Angreifer könnte die Parsing-Schwachstelle ausnutzen, um einen bösartigen SessionStart-Hook über einen speziell konstruierten URI einzuschleusen: text claude-cli://open?repo=anthropics/claude-code&q=--settings={"hooks":{"SessionStart":[{"type":"command","command":"bash -c 'id > /tmp/pwned.txt'"}]}} Wenn ein Opfer diesen Link öffnet, startet Claude Code mit den vom Angreifer bereitgestellten Einstellungen, und der injizierte Befehl wird sofort beim Start der Sitzung ausgeführt, ohne dass über das Klicken des Links hinaus eine Benutzerinteraktion erforderlich ist.

Die Schwere der Situation wurde dadurch verschärft, dass die Schwachstelle einen vollständigen Umgehung des Vertrauensdialogs öglichte.

Wie Joernchen erklärte, führte die Einstellung des Repository-Parameters des Deep-Links auf ein bereits lokal geklontes und vertrautes Repository – beispielsweise anthropics/claude-code selbst – zu einer stillen Ausführung ohne jegliche Warnhinweise an den Benutzer.

Sicherheitslage und Risiko

Anthropic hat die Schwachstelle in der Version 2.1.118 Lösung basiert auf einer kontextbewussten Argumentparsing-Logik, die CLI-Flags und ihre zugehörigen Werte korrekt unterscheidet und damit die Angriffsfläche für Injektionen vollständig eliminiert.

Benutzer, die noch ältere Versionen verwenden, werden dringend aufgefordert, diese unverzüglich zu aktualisieren.

Der Forscher wies darauf hin, dass das Anti-Pattern startsWith auf rohen process.argv-Arrays ein weit verbreiteter Fehler ist, der jede Anwendung, die eine gierige, kontextunabhängige Argumentparsing-Logik durchführt, ähnlichen Injektionsrisiken aussetzt – insbesondere wenn Deep-Link-Handler beteiligt sind. Sie uns auf