Claude Code-un parametrlər faylı 1,122 ictimai GitHub nüsxəsində gizli məlumatları ifşa edir

Apiiro-nun ictimai GitHub axtarışı Claude Code-un .claude/settings.local.json faylının ən azı bir gizli məlumat saxlayan 1,122 nüsxəsini tapdı. Fayl tərtibatçılar əmrləri 'Bəli, və bir daha soruşma' seçimi ilə təsdiqlədikdə parolları və API açarlarını yadda saxlaya bilir. Apiiro-nun məlumat verdiyi bir şirkət öz açarının aktiv olduğunu təsdiqlədi; tədqiqatçılar bütün gizli məlumatların hələ də işlədiyini yoxlamadılar.

Gizli məlumatlar necə saxlanılır

Claude Code icazələr sənədinə görə standart olaraq əksər shell əmrlərini işə salmazdan əvvəl soruşur. İstifadəçi əmri təsdiqləyib bir daha soruşulmamasını seçdikdə, Claude Code layihə daxilində .claude/settings.local.json faylında icazə qaydası saxlayır. Daha sonra uyğun gələn əmrlər sorğu olmadan işləyir. Qayda npm test * kimi şablonu və ya bir dəqiq əmri əhatə edə bilər. Dəqiq əmr parol və ya token ehtiva edirsə, gizli məlumat da açıq mətn şəklində saxlanılır. Apiiro bu davranışını Opus 5.5 və Fable 5.1 ilə təkrar yaratdı.

Claude Code faylı git-dən kənarda saxlamağa çalışır. Parametrlər sənədi deyir ki, git anbarında faylı ilk dəfə yazanda onu istifadəçinin qlobal git excludes siyahısına əlavə edir. Bu qoruma bir kompüterdə bir istifadəçinin git parametrlərində qalır və artıq commit edilmiş fayla kömək etmir, Apiiro bildirdi. Claude Code faylı layihənin öz .gitignore faylına heç vaxt əlavə etmir, ona görə qoruma layihə ilə birlikdə yayılmır.

Apiiro nə tapdı

Apiiro-nun axtarışı 103,617 ictimai GitHub anbarında faylın 104,185 nüsxəsini tapdı. Təxminən 1,1%, yəni 1,122 nüsxə, ən azı bir gizli məlumat saxlayır və birlikdə 1,379 fərqli gizli məlumat saxlayırlar. Üçdə birdən çoxu birbaşa verilənlər bazasını açır, o cümlədən 379 verilənlər bazası parolu. Digərlərinə ictimai serverlər üçün 43 SSH girişi, GitHub, GitLab və npm üçün 42 token və 23 AWS açarı daxildir. Sahiblər arasında 63 təşkilat, əsasən hər ölçüdə proqram təminatı şirkətləri var.

Bazar ertəsi vəziyyətinə görə, gizli məlumat saxlayan hər fayl hələ də öz anbarının standart qolunda idi və həmin anbarların yarısında ən azı 217 gündür orada idi. Köhnə versiyalarda cari nüsxələrin heç birində olmayan 509 anbar üzrə 734 əlavə gizli məlumat var. Gizli məlumatlar həmçinin paylaşılan .claude/settings.json faylının 76,011 nüsxəsindən 298-də yerləşir. Bunlar, köhnə versiyalar və saxlanılmış agent söhbət qeydləri daxil olmaqla, cəmi 1,994 anbar üzrə 2,539 gizli məlumatdır.

Nə etmək lazımdır

Apiiro GitHub təşkilatlarında .claude/settings.local.json və .claude/settings.json fayllarını axtarmağı və hər anbarın git tarixçəsini yoxlamağı tövsiyə edir. Tədqiqatçılar təmizləmədən əvvəl faylların heç vaxt saxladığı hər parolu, tokeni və açarı dəyişdirməyi məsləhət görürlər. Tərtibatçılar lokal faylın izlənməsini git rm --cached .claude/settings.local.json ilə dayandırmalı və onu anbarın öz .gitignore faylına əlavə etməlidirlər. Onlar gizli məlumat ehtiva edən hər qaydanı silməli və gizli məlumatlara $DB_URL kimi secrets manager-dən dəyişən kimi müraciət etməlidirlər. Tərtibatçılar tək əmrlər əvəzinə Bash(npm run:*) kimi şablonları təsdiqləməlidirlər. Təhlükəsizlik komandaları üçün Apiiro agent qovluqlarını və agent yaddaş fayllarını gizli məlumat saxlayan kimi qiymətləndirməyi və onları pre-commit və CI gizli məlumat skanına əlavə etməyi tövsiyə edir.

Ümumi gizli məlumat skanerləri bu faylların çoxunu qaçırır. Tədqiqatçılar hər nüsxə üzərində doğrulama olmadan gitleaks və TruffleHog işlətdilər. 1,122 gizli məlumat saxlayan fayldan gitleaks 564-nü, TruffleHog 643-nü işarələdi və 215-ni heç biri işarələmədi. Ən çox qaçırılanlar əmrlərin içində yazılan parollardır.

Mənbələr: The Hacker News