მკვლევარი: Claude Dispatch-ის ხარვეზით ბრაუზერის გაფართოებებს დესკტოპებზე კოდის გაშვება შეუძლიათ

Forever Security-ის მკვლევარი გალ ვეიზმანი ამბობს, რომ Anthropic-ის Claude-ის პროდუქტებში ხარვეზი ბრაუზერის გაფართოებას, რომელიც Claude Dispatch-ს აკონტროლებს, საშუალებას აძლევს Claude Desktop-ს მომხმარებლის კომპიუტერზე ან იმავე Claude-ის ანგარიშზე შესულ სხვა მანქანაზე კოდი გაუშვას ბრაუზერის ექსპლოიტის გარეშე და მინიმალური ურთიერთქმედებით. მისი თქმით, Anthropic-მა პრობლემის შესახებ მაისიდან იცის და ჯერ არ დაუხურავს. ThisBash-ად წოდებული ხარვეზი Anthropic-ს გაუმხილეს და The Register-საც გაუზიარეს.

როგორ მუშაობს შეტევა

Dispatch მომხმარებლებს მობილურიდან ან ბრაუზერიდან ამოცანების გაგზავნისა და მართვის საშუალებას აძლევს Claude Desktop-ზე, AI აგენტზე, რომელიც კომპიუტერზე ბრძანებებს ასრულებს. ვეიზმანმა დაადგინა, რომ Dispatch-ის ინტერფეისი და API ხელმისაწვდომი იყო claude.ai-ზე ჩვეულებრივი შესული ვებსესიიდან, ამიტომ claude.ai-ს კონტროლის უნარიან გაფართოებას შეეძლო Claude Desktop-სთვის ბრძანებების გაგზავნა ლეგიტიმური Dispatch მომხმარებლის სახელით. ვეიზმანის თქმით, ვინაიდან Claude-ს ოპერაციული სისტემის ფაილებზე წვდომა აქვს, მას შეუძლია კოდი გაუშვას და მანქანა სრულად დააკომპრომეტიროს. საჭიროა გაფართოება claude.ai-ზე წვდომით; ლეგიტიმური გაფართოების გატაცება ხშირად მავნე გაფართოების დაყენებაზე ადვილია. მომხმარებლები უნდა იყვნენ შესული Claude-ზე ვებში და Claude Desktop-ში Dispatch-ით, თუმცა Cowork და Code დისტანციური მართვის სესიები ამ საჭიროებას ამცირებს. ჯაჭვი იყენებს content script-ს, იღებს დესკტოპის სესიის ID-ს, აძლევს აგენტს მითითებას, ავტომატურად აწკაპუნებს დამტკიცების მოთხოვნებს და იმეორებს კოდის გაშვებამდე. დემონსტრაციაში Claude-მა მავნე npm პაკეტი დააინსტალირა; რეალურ შეტევებს შეეძლოთ მონაცემების მოპარვა ან backdoor-ის დაყენება.

გავრცელების არეალი და რისკი სხვადასხვა მანქანაზე

ზიანის არეალი დამოკიდებულია იმაზე, თუ რომელი დესკტოპის კონტროლი შეუძლია Dispatch-ის მეშვეობით კომპრომეტირებულ ბრაუზერის სესიას. ერთ მანქანაზე ეს sandbox-იდან გასვლაა, რადგან გაფართოება Dispatch-ს დესკტოპის აგენტის მართვისთვის იყენებს. Dispatch სხვადასხვა მანქანაზე მუშაობს, ამიტომ კომპრომეტირებულ სესიას შეუძლია სხვა კომპიუტერზე დაკავშირებულ დესკტოპამდეც მიაღწიოს და ბრაუზერი დისტანციური შესვლის წერტილად აქციოს. ვეიზმანის თქმით, კიდევ უფრო საგანგაშოა, თუ თანამშრომელი ანგარიშს პირად და კორპორატიულ კომპიუტერებზე იზიარებს, რადგან Dispatch შეიძლება ხიდად იქცეს ბრაუზერში არსებული პირადი Claude-ის ანგარიშიდან სამუშაო ლეპტოპზე არსებულ Claude Desktop-ზე და თავდამსხმელებს ორგანიზაციაში პირველად შეღწევის გზა მისცეს. ექვს ორგანიზაციაში, სადაც Forever Security-მა სახლისა და კორპორატიულ ლეპტოპებზე გაზიარებული ანგარიშები ნახა, კორპორატიულ გარემოში შემჩნეული პირადი Claude-ის ანგარიშების წილი 18%-დან 71%-მდე იყო.

Anthropic-ის პასუხი და დიზაინის კითხვები

Anthropic-მა მაისში აღიარა, რომ ანგარიში ნამდვილ ხარვეზს აღწერდა, მაგრამ დახურა როგორც უკვე ცნობილი ხარვეზის დუბლიკატი. მან არ გადაიხადა ბაგების ჯილდო და არც CVE გამოაქვეყნა, მაგრამ ვეიზმანს უთხრა, რომ Dispatch-ის ოქტომბრის ბოლოსთვის გაუქმებას გეგმავდა. ეს არ მოხდა. 30 ოქტომბრის მდგომარეობით, Claude-ის მხარდაჭერის გვერდზე Dispatch იყო ხელმისაწვდომი შეზღუდულ ბეტაში ზოგიერთ Pro, Max და Ultra გეგმაზე, მაგრამ არა ახალი მომხმარებლებისთვის, და არსებულებს ჯერ შეეძლოთ მისი გამოყენება. ვეიზმანის თქმით, Claude-ის დიზაინში ფუნდამენტური ხარვეზი მაინც რჩება Dispatch-ის გაუქმების შემთხვევაშიც, და სისუსტე ახლა Claude Code Remote Control-სა და Claude Cowork სესიებში გრძელდება. Cowork ვებ ვერსიიდანაც ხელმისაწვდომია და იმავე სესიებს იზიარებს, რაც დესკტოპის ვერსია, ამიტომ გაფართოებას Cowork-ის სესიებით შეეძლო ფაილებზე წვდომა, მავნე npm პაკეტის დაყენება ან OS-ზე კოდის გაშვება. ვეიზმანმა შესთავაზა ვებ ვერსია ნაკლებად სანდო მოწყობილობად მივიჩნიოთ და მისი მეშვეობით მოთხოვნილი რისკიანი ქმედებები დავბლოკოთ. მან თქვა, რომ სხვა AI აგენტები, მაგალითად OpenAI-ს Codex, პრობლემას სესიების გაუზიარებლობით თავიდან ირიდებენ.

წყაროები: The Register