חולשה ב-Claude Code Desktop אפשרה לקובץ HTML לשלוף סיסמאות מהמחשב

חוקרים מ-Noma Labs, זרוע המחקר של חברת האבטחה הישראלית Noma Security, חשפו חולשה באפליקציית הדסקטופ של Claude Code, כלי התכנות של אנתרופיק. לפי החוקרים, קובץ HTML שהוכן מראש יכול היה לעקוף את שלוש שכבות ההגנה של האפליקציה, לשלוף מהמחשב סיסמאות, מפתחות, טוקנים ומידע רגיש אחר, ולשלוח אותם לשרת של התוקף. לפי הדיווח בגיקטיים, אנתרופיק קבעה שהחולשה שקולה להרצת קוד על מחשב הקורבן ודירגה אותה CVSS 8.7, כלומר בדרגת חומרה High. החולשה כבר תוקנה בעדכון אוטומטי.

איך זה עבד

החולשה ישבה ב-Preview Pane, חלונית התצוגה המקדימה של האפליקציה. כשמפתח מבקש מ-Claude לקרוא קובץ HTML, האפליקציה לא מסתפקת בהצגת הקוד. היא מרנדרת אותו בחלונית צדדית כדף אינטרנט חי, כולל הרצת JavaScript.

האפליקציה בנויה על Electron, מסגרת שמאפשרת לבנות אפליקציות דסקטופ בטכנולוגיות web. בפועל החלונית היא דפדפן שמוטמע באפליקציה, והיא רצה בתוך sandbox, סביבה מבודדת, עם שלוש שכבות הגנה: Content Security Policy, שאמורה לחסום הרצת JavaScript; Origin Isolation, שמונעת גישה למשאבי האפליקציה ולמערכת הקבצים; ומסנן בקשות רשת (Request filter) שחוסם, בין השאר, ניסיונות לקרוא קבצים מקומיים.

הפרצה נמצאה בהבדל בין הטיפול בקבצים קטנים לגדולים. לדברי החוקרים, קבצים שקטנים מ-256KB נטענו כשכל ההגנות פעילות. קבצים גדולים יותר נכתבו לקובץ זמני בדיסק ונטענו ישירות ממנו, ובנתיב הזה אף אחת משלוש ההגנות לא פעלה. ב-Electron, מסמך שנטען ישירות מהדיסק דרך file:// יכול לקרוא כל קובץ שהמשתמש מורשה לגשת אליו. כדי לעבור את הסף, תוקף היה צריך רק לנפח את הקובץ ב-padding, כלומר בנתונים חסרי משמעות.

התיקון הראשון לא הספיק

לפי Noma, אנתרופיק הגיבה מהר ופרסה תיקון. כשהחוקרים התבקשו לבדוק אותו, הם מצאו דרך לעקוף גם אותו. התיקון חסם קריאת קבצים מהדף הראשי של החלונית, אבל לא כיסה Web Workers, תהליכים שדף אינטרנט מריץ ברקע ושיש להם גישה עצמאית לרשת. החוקרים העבירו את קריאת הקבצים ל-Worker, והצליחו שוב לשלוף את המידע ולשלוח אותו החוצה.

למה זה חשוב

החולשה הזאת לא דרשה מהמפתח להריץ דבר. מספיק היה שיבקש מ-Claude לבדוק קובץ. לפי החוקרים, כל מאגר קוד עם קובץ HTML גדול מספיק הוא וקטור תקיפה פוטנציאלי: תוקף יכול להכניס קובץ כזה לפרויקט open source דרך Pull request, או לפרסם מאגר משלו ולחכות שמפתחים יורידו אותו. ככל שהפרויקט פופולרי יותר, כך גדל מספר הנפגעים האפשריים.

הלקח רחב יותר מהמקרה הספציפי. כלי AI למפתחים מוסיפים נוחויות כמו רינדור אוטומטי של תוכן, והן מרחיבות את שטח התקיפה. נראה שבמקרה הזה, הבחירה לטעון קבצים גדולים בנתיב אחר, ככל הנראה מטעמי ביצועים, הספיקה כדי שכל מנגנוני ההגנה לא יופעלו. העובדה שהתיקון הראשון נעקף מראה עד כמה קשה לסגור נתיב כזה לגמרי.

Noma ממליצה לוודא שהאפליקציה מעודכנת לגרסה האחרונה, לצמצם את כמות ה-secrets שנשמרים על המחשב (מפתחות AWS קבועים, npm tokens בלי תאריך תפוגה, קובצי env. עם סיסמאות לפרודקשן) ולעבור ל-credentials זמניים עם הרשאות מצומצמות. לארגונים היא ממליצה לדעת אילו כלי AI המפתחים מריצים ולאיזה מידע הכלים ניגשים.

כדאי לציין שהתיאור הטכני מגיע מהחוקרים עצמם, בכתבה שפורסמה בגיקטיים בשיתוף Noma Security. החברה מפתחת פלטפורמה לאבטחת מערכות וסוכני AI. היא נוסדה ב-2023 על ידי ניב בראון ואלון טרון, וגייסה עד היום 132 מיליון דולר.