Plugin4Shell lurer SHA-pinningen i Claude Code, Codex, Copilot og Gemini CLI

SHA-pinning er bransjens svar på kaprede plugin-repoer: noen gjennomgår koden ved én commit, låser pluginen til den commit-hashen og stoler på at det er akkurat den koden som kjører etterpå. Forskerne Or Nevo, Dor Granat og Niv Hoffman i sikkerhetsselskapet Air viste 17. september at Claude Code, OpenAI Codex, GitHub Copilot og Gemini CLI alle hoppet over det siste steget. Agentene sjekker ut den pinnede committen, men kontrollerer aldri at arbeidskatalogen faktisk havnet der.

I Claude Code, Codex og Copilot oppretter angriperen en branch som heter nøyaktig den 40 tegn lange SHA-en, og gjør den til standard-branch i repoet. Når et navn er både en gyldig ref og en objekt-id, velger git refen og skriver bare en advarsel om at navnet er tvetydig. Agenten melder vellykket installasjon ved riktig commit, mens innholdet er angriperens. Gemini CLI faller for en variant der standard-branchen heter FETCH_HEAD, slik at git checkout FETCH_HEAD velger branchen i stedet for committen som nettopp ble hentet.

Automatisk oppdatering av plugins, som er standard i Claude Code og Codex, gjør angrepet zero-click. Den samme checkouten kjøres på nytt i bakgrunnen, så en plugin du allerede har installert og stoler på, kan byttes ut uten at du gjør noe. Ifølge Air er det heller ikke vanskelig å komme inn: selskapet fikk tidligere en egen skill spredt til over 26 000 agenter, og viste at 925 skills i bruk kunne kapres via repoene bak dem.

«Rettelsen må leveres i agenten, og oppdatering er det eneste fullstendige tiltaket der det finnes et» — Or Nevo, Dor Granat og Niv Hoffman, Air

Hvor utsatt du er, avhenger av hvor pluginen ligger. GitHub avviser branch-navn på 40 heksadesimale tegn, så varianten mot Claude Code, Codex og Copilot virker ikke mot repoer der.

«For å hindre misbruk av SHA-er lar ikke GitHub brukere opprette branch- eller tag-navn som ligner commit-SHA-er» — talsperson for GitHub til The Register

Bitbucket og selvhostede git-servere tillater slike navn, og Air påpeker at Anthropics egen dokumentasjon lister begge som gyldige marketplace-kilder. Gemini-varianten stoppes ikke av vertens navneregler i det hele tatt.

Anthropic rettet feilen i Claude Code 2.1.179 i juni, og OpenAI i Codex 0.146.0 i august. Microsoft har ikke levert en rettelse til Copilot, ifølge Air. Google har faset ut Gemini CLI, vil ikke rette den og anbefaler overgang til Antigravity, som ikke har plugin-pinning å omgå.

Air selger selv en kuratert plugin-marketplace og et filter for agent-tillegg, og rapporten bærer preg av det. Selve rettelsen er likevel liten, og den må ligge i agenten: etter checkout sammenlignes git rev-parse HEAD med den pinnede SHA-en, og installasjonen avbrytes ved avvik.

Hva bør du gjøre?

1. Kjør claude --version og codex --version, og oppgrader hvis du ligger under 2.1.179 eller 0.146.0.
2. Gå gjennom hvilke marketplaces Copilot og Gemini CLI henter plugins fra, og fjern plugins fra Bitbucket eller selvhostet git så lenge det ikke finnes en rettelse.
3. Bygger du egne verktøy som installerer fra en pinnet commit, legg inn samme kontroll: sammenlign git rev-parse HEAD med SHA-en du forventet, og avbryt ellers.