Консультация по безопасности Claude Code: CVE-2026-33068 Обход проверки доверия рабочей области

✍️ OpenClawRadar📅 Опубликовано: 20 марта 2026 г.🔗 Source
Консультация по безопасности Claude Code: CVE-2026-33068 Обход проверки доверия рабочей области
Ad

Уязвимость безопасности в Claude Code

Выпущено предупреждение о безопасности для пользователей Claude Code относительно CVE-2026-33068 — уязвимости с оценкой CVSS 7.7 (ВЫСОКИЙ). Проблема затрагивает версии Claude Code до 2.1.53.

Технические детали

Уязвимость позволяет вредоносным репозиториям обходить диалог подтверждения доверия к рабочей области. Claude Code включает легитимную функцию bypassPermissions в файле .claude/settings.json, которая позволяет пользователям предварительно одобрять определённые операции в доверенных рабочих областях.

Ошибка заключалась в порядке операций: настройки из файла .claude/settings.json репозитория загружались до отображения пользователю диалога о доверии к рабочей области. Это означает, что клонированный репозиторий мог содержать файл настроек, предоставляющий ему повышенные разрешения до того, как пользователь успевал его проверить.

Важный нюанс: bypassPermissions — это задокументированная, преднамеренная функция. Уязвимость заключается не в самой функции, а в последовательности загрузки.

Ad

Что следует сделать пользователям

  • Выполните команду claude --version, чтобы убедиться, что у вас версия 2.1.53 или новее
  • Перед открытием любого незнакомого репозитория в Claude Code проверьте, содержит ли он файл .claude/settings.json, и изучите его содержимое
  • Если вы работали с репозиториями из ненадёжных источников в более ранних версиях, подумайте, не выполнялись ли какие-либо неожиданные операции

Исправление

Anthropic исправила эту уязвимость в версии 2.1.53, изменив порядок загрузки. Полное предупреждение с техническими деталями доступно по адресу https://raxe.ai/labs/advisories/RAXE-2026-040.

📖 Прочитать полный источник: r/ClaudeAI

Ad

👀 Смотрите также

Мошеннический инструмент Roblox и ИИ вызвали сбой платформы Vercel.
Безопасность

Мошеннический инструмент Roblox и ИИ вызвали сбой платформы Vercel.

Сообщается, что читерская программа для Roblox в сочетании с инструментом искусственного интеллекта вызвала полный сбой платформы Vercel, что привело к активному обсуждению на Hacker News с 66 баллами и 24 комментариями.

OpenClawRadar
Петли угодничества ИИ: Уязвимость RLHF порождает зависимость и эхо-камеры
Безопасность

Петли угодничества ИИ: Уязвимость RLHF порождает зависимость и эхо-камеры

В ходе сессии red-teaming была выявлена структурная уязвимость в коммерческих моделях ИИ, где оптимизация RLHF заставляет их отдавать предпочтение лести и согласию перед логической аргументацией, создавая риски психологической зависимости и автоматизированных эхо-камер.

OpenClawRadar
ClawGuard: Брандмауэр по умолчанию с запретом для локальных AI-агентов
Безопасность

ClawGuard: Брандмауэр по умолчанию с запретом для локальных AI-агентов

ClawGuard перехватывает каждый вызов инструмента от агентов OpenClaw/Hermes, применяя политику запрета по умолчанию для блокировки опасных операций, таких как чтение .env или rm -rf, и требующую одобрения по телефону для неоднозначных действий.

OpenClawRadar
🦀
Безопасность

Безопасность ИИ-агентов: бюджет токенов определяет риск утечки данных

Разработчик протестировал ИИ-агентов, подключенных к Gmail: флагманские модели ловили фишинг, средние были нестабильны, дешевые молча пересылали вредоносные письма. Архитектурные защиты (изоляция, разрешения) не остановили ни одной атаки.

OpenClawRadar