SharedRoot: die Schwachstelle in Claude Cowork für macOS, die einem VM erlaubte, den ganzen Mac zu lesen und zu schreiben

Sicherheitsforscher haben kritische Schwachstellen in der Desktop-Version von Anthropic Claude Cowork für macOS offenbart, die es einem Agent erlaubte, aus seinem Linux-Virtual-Maschine zu entkommen und Dateien im gesamten Mac-System zu lesen oder zu schreiben, wo die lokale Sitzung lief. Die Erkenntnis, getauft als Gefällt mir von denen, die es entdeckt haben, stellt es das reale Risiko dar, lokale VMs-basierte Agenten mit umfangreichen Dateisystem-Baugruppen und Netzwerkfähigkeiten ohne entsprechende Einschränkungen zu betreiben.

Laut der Firma, die den Ausfall gemeldet, Accomplish AI, die Technik arbeitete, weil der Gast VM das Dateisystem des Hosts mit lectura-Schreibzugriff an einem Punkt, der für den Root-Benutzer innerhalb des Gastes zugänglich ist. Eine Kette von Operation nutzte die Fähigkeit, unprivilegierte Namensräume und die Ladung des Akts zu erstellen _ pedit Linux Kernel Subsystem, um einen bekannten Überlauf auf der Anfrage COW Route auszulösen (in Verbindung mit der Verkehrsklassifikation), so dass der Prozess in der VM erhalten root-equivalente Privilegien im Gast und, durch gemeinsame Montage, Zugriff auf den gesamten Mac des Benutzers.

Die praktische Gefahr ist einfach und ernst: Ein Agent, der dieses Klettern erreicht, kann SSH-Schlüssel lesen, gespeicherte Anmeldeinformationen, Cloud-Tokens-Dateien und andere Benutzer-Geheimnisse, die die Anwendung auf dem Desktop ausführen. Die Entdecker schätzten, dass bis zu einer halben Million lokale Behörden offengelegt werden könnten, bevor Anthropic das Standardverhalten der Cloud-Ausführung veränderte.

Anthropic reagierte, indem er den Bericht als informativ schließt und die Standardausführung in die Cloud änderte, was den Angriffsvektor für die meisten Benutzer reduziert. Diejenigen, die sich explizit für die Ausführung lokaler Cowork-Sitzungen entscheiden, bleiben jedoch in Gefahr, wenn sie keine zusätzliche Minderung anwenden oder das Kernel / VM-Bild nicht gepatcht wird. Diese Episode zeigt eine große Lektion: Die Ergonomie des lokal laufenden Laufens kann mit strukturellen Sicherheitsbegrenzungen kollidieren, wenn das Design auf gemeinsame Baugruppen und Kernelmodule basiert, die aus einem unprivilegierten Kontext ausgenutzt werden können.

Aus technischer Sicht ist die Verwundbarkeit repräsentativ für eine wiederkehrende Klasse in Netzwerk-Subsystemen und Kernel-Programmierung: ein Modul, das selbstfahrend ist, eine Konfigurationsroute, die von Nicht-Privilegs-Benutzern zugänglich ist, und einen Speicherfehler, der diese Route in eine effektive Skalierung von Privilegien verwandelt. Zusammenfassend löst das Patchen eines bestimmten CVE diese Instanz, lässt aber das Muster intakt, das es dem nächsten ähnlichen Ausfall ermöglichen wird, wenn strukturelle Eindämmungsmaßnahmen nicht umgesetzt werden.

Für Benutzer, die Claude Cowork in macOS verwenden, empfehle ich in dieser Reihenfolge: sicherzustellen, dass die Anwendung aktuell ist und die Cloud-Ausführung bevorzugt, wenn es nicht notwendig ist, in lokalen zu arbeiten; Vorlieben zu überprüfen und zu vermeiden, die Wurzel des Systems (/) mit dem VM zu teilen; nur die spezifischen Ordner zu montieren, die von der Sitzung benötigt werden, und, wenn möglich, zu tun, im Lesemodus; und zu drehen Tasten und Anmeldeinformationen, wenn es ist, dass es ist, dass eine Sitzung vermutet ist, dass es ist. Es ist auch angebracht, aktuelle Dateien und Systemaufzeichnungen durch ungewöhnliche Aktivität zu überprüfen und im Zweifel, Token oder SSH-Tasten zu widerrufen und sie wieder zu erzeugen.

Für Administratoren und Entwickler von Lösungen, die Agenten in VMs integrieren, sind die praktischen technischen Empfehlungen klar: nicht das gesamte Host-System mit Schreibgenehmigungen in der VM montieren; begrenzen Sie die Fähigkeiten, die dem Benutzerprozess innerhalb des Containers oder VM (vermeiden Sie CAP _ NET _ ADMIN, wenn nicht unbedingt erforderlich); deaktivieren oder beschränken Sie nicht privilegierte Namensräume, wenn die Umgebung implementiert werden kann; härten seccomp-Filter, um erlaubt Anrufe zu reduzieren;

Zusätzlich zu diesen spezifischen Maßnahmen ist es angebracht, einen eingehenden Verteidigungsansatz zu treffen: die Auswirkungen einer möglichen Eskalation des VM, auch bei Gast-Wurzel, gibt es keine einfachen Vektoren, um den Wirt anzugreifen. Nur abgelesene Baugruppen, eine geringere Exposition von virtuellen Geräten und eine klare Politik, wenn es akzeptabel ist, Modelle lokal gegen den Betrieb in der Cloud auszuführen, helfen, das Belichtungsfenster zu reduzieren.

Dieser Vorfall erinnert an die Spannung zwischen Offline-Funktionalität und Sicherheit: Die Fähigkeit, komplexe Agenten in einem lokalen Team zu führen, hat Latenz und Privatsphäre Vorteile, erfordert jedoch strengere Kontrollen an der Isolierung der VMs und des Kernels. In der Zwischenzeit sollten Lieferanten nicht nur reaktive Patches priorisieren, sondern auch Änderungen entwickeln, die die Abhängigkeit von wiederholbaren Betriebsstraßen beseitigen.

Wenn Sie auf der Suche nach einer technischen Referenzdokumentation über das Apple Virtualization Framework sind und wie Linux Name und Kapazitätsräume verwaltet, können Sie die offizielle Apple-Dokumentation auf Apple Virtualisierungsrahmen und der Kernelführer Kernel. Die Aktualität und Umsetzung von Minderungsmaßnahmen ist der praktischste Weg, das Risiko zu reduzieren, während die Gemeinschaft die Angriffsfläche korrigiert.