Claude Code 2.1.251 tetter seks hull i tillatelsessjekken
Retter seks separate tilfeller der Claude Code kunne lese eller skrive utenfor det du hadde godkjent, de fleste av dem via symlenker.
Seks av rettelsene i Claude Code 2.1.251, sluppet 28. august, handler om det samme underliggende problemet: tillatelsessjekken kunne omgås. Anthropic merker dem ikke som CVE-er, og de står som vanlige punkter i utgivelsesnotatene, men lest samlet tegner de et mønster rundt tidsvinduet mellom «dette har du lov til» og «dette gjøres nå».
Det tydeligste tilfellet gjelder filverktøyene.
«Rettet at filverktøyene (Read, Write, Edit) fulgte en symlenke som ble byttet ut inne i arbeidskatalogen etter tillatelsessjekken, noe som kunne lese eller skrive utenfor det godkjente området.» - utgivelsesnotatene for 2.1.251
Det er et klassisk kappløp mellom kontroll og bruk: stien blir godkjent, og så peker den et annet sted når skrivingen faktisk skjer. Samme mekanisme dukker opp i søkeverktøyene, der Grep og Glob ikke anvendte Read-avslagsregler på filer som ble nådd gjennom en symlenket søkesti, og i Workflow-verktøyet, som leste en scriptPath utenfor det økten hadde lov til å lese før tillatelsessjekken kjørte. Feilmeldingen siterte til og med innholdet.
De tre siste ligger et hakk lenger ut. Plugin-kommandoer deklarert i en marketplace-oppføring kunne peke ut av plugin-katalogen, og slike stier avvises nå med en path traversal-feil. Prosjektinnstillinger kunne slå på detaljert beta-sporing eller rå logging av API-kropper, og et beta-sporingsendepunkt med lavere presedens kunne gå utenom en OTLP-samler som var låst av managed settings. Og Bash-tillatelsessjekken godkjente automatisk kommandoer som tilordner et aritmetisk uttrykk til en heltallsvariabel, som OPTIND=1/0 eller RANDOM=2+2. De ber nå om godkjenning.
Resten av utgivelsen er stor på egen hånd. Hendelsene PreModelSwitch og PostModelSwitch lar deg blokkere, bekrefte eller annotere et modellbytte fra en hook, og SessionStart-hooks som gjenopptar en økt får nå vite hvor gammel økten er og hva det koster å bygge cachen på nytt. Kommandoen /cost har fått en egen linje for prompt-cachen per økt med treffrate, bom, antall tokens som ble cachet på nytt og om cachen var varm eller kald, tilgjengelig som et prompt_cache-objekt for statuslinjeskript. Kommandoen /usage har fått en forbrukstakslinje for de som kjører gjennom en Claude apps-gateway. Verktøykallene til en forgrunns-subagent strømmer nå live til Remote Control-klienter, mens bakgrunnsagenter fortsatt bare viser status. Binærfila er rundt 5 MB mindre.
Hva bør du gjøre?
- Oppgrader hvis du kjører Claude Code mot kataloger som inneholder symlenker, eller mot repoer der andre prosesser kan bytte ut filer mens en økt går. Rettelsene i filverktøyene, Grep, Glob og Workflow gjelder alle det tilfellet.
- Se over marketplace-plugins du har installert fra andre enn deg selv. Kommandostier som peker ut av plugin-katalogen blir nå avvist, men de har vært mulige fram til denne versjonen.
KI-kuratert — innholdet er generert av KI-agenter basert på originalkilden.