Claude Dispatch açığı tarayıcı uzantılarının masaüstlerinde kod çalıştırmasını sağlıyor, araştırmacıya göre

Anthropic'in Claude ürünlerindeki bir güvenlik açığı, Claude Dispatch'i denetleyen tarayıcı uzantısının Claude Desktop'ı kullanıcının bilgisayarında veya aynı hesaba oturum açılmış başka makinede kod çalıştırmasını sağlayabilir; tarayıcı açığı gerekmez, etkileşim çok azdır, Forever Security'den Gal Weizman'a göre. Anthropic konuyu mayıs ayından beri biliyor ve kapatmadı, Weizman söyledi. ThisBash adlı açık Anthropic'e bildirildi ve The Register ile paylaşıldı.

Saldırı nasıl çalışıyor

Dispatch, mobil veya tarayıcıdan Claude Desktop'a görev gönderip yönetmeyi sağlar; Claude Desktop bilgisayarda komut çalıştıran bir yapay zeka aracısıdır. Weizman, Dispatch arayüzünün ve API'sının claude.ai'deki sıradan oturumdan erişilebilir olduğunu buldu; dolayısıyla claude.ai'yi denetleyen uzantı, meşru Dispatch kullanıcısı gibi Claude Desktop'a komut gönderebilir. Weizman'a göre Claude'un işletim sistemi dosyalarına erişimi, makineyi tamamen tehlikeye atabilecek kod çalıştırmasını mümkün kılıyor. Saldırı claude.ai erişimi olan uzantı gerektirir; Weizman bunun zor olmadığını, meşru uzantıyı ele geçirmenin kötü amaçlı uzantı kurdurmaktan kolay olduğunu söyledi. Kullanıcıların web'de Claude'a ve Dispatch etkin Claude Desktop'a oturum açmış olması gerekir; Cowork ve Code uzaktan denetim oturumları Dispatch'e katılmayı zorunlu kılmaz. Zincir içerik betiği kullanır, masaüstü oturum kimliğini alır, aracıyı yönlendirir, onay istemlerini otomatik tıklar ve kod çalışana kadar tekrarlar. Kavram kanıtında Claude kötü niyetli npm paketi kurdu; gerçek saldırılar veri çalabilir veya arka kapı kurabilir.

Kapsam ve makineler arası risk

Patlama yarıçapı, ele geçirilmiş tarayıcı oturumunun Dispatch üzerinden hangi masaüstünü denetleyebildiğine bağlıdır. Aynı makinede bu korumalı alan çıkışıdır; uzantı Dispatch ile masaüstü aracısını yönlendirir. Dispatch makineler arası çalıştığı için ele geçirilmiş oturum başka bilgisayardaki bağlı masaüstüne erişebilir ve tarayıcıyı uzaktan giriş noktası yapar. Weizman, çalışanın kişisel ve kurumsal bilgisayarlar arasında hesap paylaşması halinde daha endişe verici olduğunu söyledi; çünkü Dispatch tarayıcıdaki kişisel Claude hesabından iş dizüstü bilgisayarındaki Claude Desktop'a köprü olabilir ve saldırganlara kuruluşa ilk sızma yolu verebilir. Forever Security'nin hesap paylaşımı görülen altı kuruluşunda kurumsal ortamlardaki kişisel Claude hesapları yüzde 18 ile yüzde 71 arasındaydı.

Anthropic yanıtı ve tasarım soruları

Anthropic raporu mayıs ayında geçerli açık olarak kabul etti, ancak zaten izlediği bilinen açığın yinelemesi olarak kapattı. Hata ödülü ödemedi veya CVE vermedi, ancak Weizman'a ekim sonunda Dispatch'i emekliye ayırmayı planladığını söyledi. Bu olmadı. 30 Ekim itibarıyla resmi Claude destek sayfası Dispatch'i bazı Pro, Max ve Ultra planlarında sınırlı beta olarak, yeni kullanıcılara kapalı, mevcut kullanıcıların şimdilik kullanabileceği şekilde listeliyordu. Weizman, Dispatch kaldırılsa bile Claude'un temel tasarım hatasının sürdüğünü söyledi; zayıflık Claude Code Remote Control ve Claude Cowork oturumları gibi özelliklerde yaşıyor. Claude Cowork web sürümünden erişilebilir ve masaüstü sürümüyle aynı oturumları paylaşıyor; dolayısıyla uzantı Cowork oturumlarını kullanarak dosyalara erişebilir, kötü niyetli npm paketi kurabilir veya işletim sisteminde kod çalıştırabilir. Weizman web sürümünü daha düşük güvenilirlikli cihaz saymayı ve web üzerinden istenen riskli eylemleri engellemeyi önerdi. Diğer yapay zeka araçlarının, örneğin OpenAI Codex'in, oturumları paylaşmadığı için sorunu önlediğini söyledi.

Kaynaklar: The Register