Claude Code v2.1.309、サンドボックス脱出、シンボリックリンク拒否ルール、MCP設定の改ざんを修正

Claude Code v2.1.309は、macOS、Linux、Windowsにおける複数のサンドボックス脱出経路とパーミッションチェックのバイパスを塞ぐ、セキュリティ色の強いリリースです。修正はBashサンドボックス、MCP設定の保護、worktree分離、フック実行にまたがっています。

サンドボックスとファイルシステムの修正

• macOSとLinuxのサンドボックス化されたBashコマンドは、各コマンドの前にシェルのスタートアップファイルをサンドボックス外で実行しなくなりました。
• macOSサンドボックスのdenyWriteグロブパターンは、パターンのフォルダがシンボリックリンク経由で到達された場合、パスの実際の場所に適用されるようになりました。
• サンドボックス化されたコマンドと自動承認された編集は、--mcp-configで渡されたMCP設定ファイルを変更できなくなりました。
• プロファイルストアの書き込み保護は、設定ディレクトリがシンボリックリンク経由で到達された場合にも適用されるようになりました。

パーミッションと分離の修正

• Bashのパーミッションチェックは、リダイレクトのオープンに失敗する可能性があるコマンドによって設定された変数を信頼しなくなりました。
• gitを実行する前にディレクトリを変更する複合コマンドは、cdがラップされているかプレフィックスが付いている場合でも、パーミッションを求めるようになりました。これはプレーンなcdの動作と一致します。
• Edit(path)の拒否ルールは、コマンドがサブシェルも保持している場合、そのパスへのBashリダイレクトをブロックするようになりました。
• worktree分離されたセッションは、分離ガードが拒否すべきロケールプレフィックス付きコマンドとzsh算術コマンドを拒否するようになりました。
• 分割ペインのエージェントチームメイトは、リーダーのツール拒否ルールと--toolsルールを継承するようになりました。

セッションとMCPの修正

• 無効化されたMCPサーバーは、プリントセッションとSDKセッションで後続のパーミッションプロンプトによって再接続されなくなりました。
• Claude Codeによって作成されたworktreeとブランチチェックアウトは、他のgit操作と同様に、git replace refsを無視するようになりました。
• 非常に大きなネストされたCLAUDE.mdの下でファイルを読み取った後、セッションが繰り返しコンパクト化を停止しました。サイズ制限を超えたネストされたCLAUDE.mdは、その先頭のみをロードするようになりました。
• 他のエージェントやセッションからの配信待ちメッセージは、トランスクリプト（ctrl+o）の下に完全に表示され、待機中としてマークされるようになりました。

フック、スキル、UI

• PowerShellフックは、フックのプログラムがコード2で終了した場合にブロックするようになり、Git for Windowsがインストールされていない場合でも、"shell": "powershell"を指定したWindowsのPreToolUseおよびPermissionRequestフックがフェイルオープンしなくなりました。
• モデルをエイリアス（例：haiku）で指定するmodのturn.stepフックは、すべてのリクエストを失敗させる代わりに、そのモデルに解決されるようになりました。
• --add-dirフォルダ内のスキルは、別のスキルが同じ名前を保持している場合、<folder>:<name>として到達可能になりました。
• ctrl+enter（今すぐ送信）の動作は、応答が開始される前とプロンプトのフックが実行されている間の両方で修正されました。
• 長いツール出力のプレビューは、絵文字の途中で切られなくなり、セッショントランスクリプトがjqで解析可能に保たれるようになりました。

サンドボックスモードまたはworktree分離モードでClaude Codeを実行している場合は、アップグレードしてください。シンボリックリンクと--mcp-configの修正が優先すべきものです。