Claude Code v2.1.309 schließt Sandbox-Ausbrüche, Symlink-Verbotsregeln und Manipulation der MCP-Konfiguration

Claude Code v2.1.309 ist ein sicherheitslastiges Release, das mehrere Sandbox-Escape-Vektoren und Umgehungen von Berechtigungsprüfungen unter macOS, Linux und Windows schließt. Die Korrekturen betreffen Bash-Sandboxing, MCP-Konfigurationsschutz, Worktree-Isolation und Hook-Ausführung.

Sandbox- und Dateisystem-Korrekturen

• Sandboxed Bash-Befehle unter macOS und Linux führen die Startdateien der Shell nicht mehr außerhalb der Sandbox vor jedem Befehl aus.
• macOS-Sandbox-denyWrite-Glob-Muster gelten jetzt am realen Pfad eines Pfads, wenn der Ordner des Musters über einen Symlink erreicht wird.
• Sandboxed Befehle und automatisch akzeptierte Bearbeitungen können die mit --mcp-config übergebene MCP-Konfigurationsdatei nicht mehr ändern.
• Der Schreibschutz des Profilspeichers greift jetzt, wenn das Konfigurationsverzeichnis über einen Symlink erreicht wird.

Berechtigungs- und Isolationskorrekturen

• Bash-Berechtigungsprüfungen vertrauen nicht mehr auf eine Variable, die von einem Befehl gesetzt wurde, dessen Umleitung möglicherweise nicht geöffnet werden kann.
• Zusammengesetzte Befehle, die das Verzeichnis wechseln, bevor Git ausgeführt wird, fordern jetzt eine Berechtigung an, auch wenn das cd umschlossen oder mit Präfix versehen ist – entsprechend dem Verhalten für ein einfaches cd.
• Eine Edit(path)-Verweigerungsregel blockiert jetzt eine Bash-Umleitung auf diesen Pfad, wenn der Befehl auch eine Subshell enthält.
• Worktree-isolierte Sitzungen lehnen locale-prefixed Befehle und zsh-Arithmetikbefehle ab, die der Isolationsschutz ablehnen sollte.
• Split-Pane-Agent-Teammitglieder erben jetzt die Tool-Verweigerungs- und --tools-Regeln des Leiters.

Sitzungs- und MCP-Korrekturen

• Ein deaktivierter MCP-Server wird nicht mehr durch eine spätere Berechtigungsaufforderung in Print- und SDK-Sitzungen erneut verbunden.
• Von Claude Code erstellte Worktrees und Branch-Checkouts ignorieren jetzt Git-Replace-Refs, konsistent mit seinen anderen Git-Operationen.
• Sitzungen komprimieren nicht mehr wiederholt nach dem Lesen von Dateien unter einer sehr großen verschachtelten CLAUDE.md; eine verschachtelte CLAUDE.md über der Größenbeschränkung lädt jetzt nur ihren Anfang.
• Nachrichten von anderen Agenten und Sitzungen, die noch auf die Zustellung warten, erscheinen jetzt vollständig unter dem Transkript (Strg+O), als wartend markiert.

Hooks, Skills und UI

• PowerShell-Hooks blockieren jetzt, wenn das Programm des Hooks mit Code 2 beendet wird, und Windows-PreToolUse- und PermissionRequest-Hooks mit "shell": "powershell" schlagen nicht mehr fehl, wenn Git für Windows nicht installiert ist.
• Ein turn.step-Hook eines Mods, der ein Modell per Alias nennt (z. B. haiku), wird jetzt zu seinem Modell aufgelöst, anstatt jede Anfrage fehlschlagen zu lassen.
• Skills in --add-dir-Ordnern sind jetzt als <folder>:<name> erreichbar, wenn ein anderer Skill denselben Namen hat.
• Das Verhalten von Strg+Enter (sofort senden) ist sowohl vor dem Start einer Antwort als auch während der Ausführung der Hooks einer Eingabeaufforderung korrigiert.
• Lange Tool-Ausgabevorschauen werden nicht mehr durch ein Emoji abgeschnitten, sodass Sitzungstranskripte von jq analysierbar bleiben.

Wenn Sie Claude Code im sandboxed oder worktree-isolierten Modus ausführen, aktualisieren Sie. Die Symlink- und --mcp-config-Korrekturen haben Priorität.