Уязвимость нулевого клика затронула Claude Code, Codex, Copilot и Gemini CLI
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Исследователи AIR обнаружили уязвимость удалённого выполнения кода без взаимодействия с пользователем Plugin4Shell, затрагивающую четырёх крупных агентов для написания кода: Claude Code, Codex, GitHub Copilot и Gemini CLI. Уязвимость обходит проверку SHA-привязки плагинов, позволяя внедрять вредоносный код в уже установленные плагины без действий пользователя. Два из четырёх агентов остаются без исправления.
Ключевые факты
- AIR идентифицировала уязвимость Plugin4Shell — обход SHA-привязки плагинов, затрагивающий Claude Code, Codex, GitHub Copilot и Gemini CLI.
- Уязвимость позволяет подменять вредоносный код, сохраняя видимость неизменной привязки, что обеспечивает удалённое выполнение кода без взаимодействия с пользователем.
- Два из четырёх затронутых агентов для написания кода остаются без исправления.
- AIR ранее продемонстрировала связанную атаку SkillJacking, в ходе которой было захвачено 925 навыков, затронувших 134 000 агентов.
Механизм обхода привязки
Уязвимость ломает SHA-привязку, которую разработчики используют для фиксации установленного плагина на конкретной проверенной версии кода. AIR обнаружила, что все четыре агента извлекают зафиксированный коммит без проверки того, что извлечение произошло именно туда, что позволяет подменить вредоносный код. Claude Code, Codex и GitHub Copilot имеют общий вариант, связанный с обработкой имён веток в git, тогда как Gemini CLI уязвим через отдельный механизм получения и извлечения зафиксированных коммитов. Атака работает, когда ветка может быть названа как хеш, что является поведением git по умолчанию, но запрещено GitHub и разрешено Bitbucket и самостоятельно размещёнными git-серверами.
Векторы атаки
В первом векторе злоумышленник публикует плагин, который проходит проверку, а позже делает его вредоносным; AIR показала, что такой подход распространился на более чем 26 000 агентов в предыдущем исследовании. Во втором векторе злоумышленник захватывает репозиторий уже доверенного плагина и рассылает вредоносный код всем, у кого он установлен. AIR продемонстрировала такой захват в исследовании SkillJacking, обнаружив, что 925 уже используемых навыков были захвачены у первоначальных сопровождающих, затронув 134 000 агентов.
1 источник
Время · отставание