SharedRoot : la vulnérabilité de Claude Cowork pour macOS qui a permis à un VM de lire et d'écrire sur tout le Mac

Des chercheurs en sécurité ont révélé une vulnérabilité critique dans la version de bureau d'Anthropic Claude Cowork pour macOS qui a permis à un agent de s'échapper de sa machine virtuelle Linux et de lire ou d'écrire des fichiers dans tout le système Mac où la session locale était en cours. La découverte, baptisée comme Réseau partagé par ceux qui l'ont découvert, il expose le risque réel d'exécuter des agents locaux basés sur VMs avec des assemblages de systèmes de fichiers étendus et des capacités réseau sans restrictions appropriées.

Selon l'entreprise qui a signalé l'échec, Accomplish AI, la technique a fonctionné parce que l'invité VM monté le système de fichiers de l'hôte avec l'accès d'écriture à un point accessible à l'utilisateur racine au sein de l'invité. Une chaîne d'opération a profité de la possibilité de créer des espaces de noms non privilégiés et de la charge du sous-système de noyau _ pedit Linux pour déclencher un débordement connu sur la route COW de requête (associée à la classification du trafic), de sorte que le processus dans la VM a obtenu des privilèges root-équivalent dans l'invité et, par assemblage partagé, l'accès à l'ensemble du Mac de l'utilisateur.

Le danger pratique est simple et sérieux: un agent qui réalise cette escalade peut lire les clés SSH, les identifiants stockés, les jetons de nuage et d'autres secrets d'utilisateur qui exécutent l'application sur le bureau. Les découvreurs ont estimé que jusqu'à un demi-million d'autorités locales auraient pu être exposées avant qu'Anthropic change le comportement par défaut à l'exécution en nuage.

Anthropic a répondu en fermant le rapport comme informatif et en changeant l'exécution par défaut vers le cloud, ce qui réduit le vecteur d'attaque pour la plupart des utilisateurs. Cependant, ceux qui choisissent explicitement d'exécuter des séances de cowork locales restent à risque s'ils n'appliquent pas d'atténuation supplémentaire ou si l'image noyau / VM n'est pas corrigée. Cet épisode met en lumière une leçon majeure: l'ergonomie de la course locale peut entrer en collision avec des limitations de sécurité structurelle lorsque la conception repose sur des assemblages partagés et des modules noyau qui peuvent être exploités à partir d'un contexte non privilégié.

D'un point de vue technique, la vulnérabilité est représentative d'une classe récurrente dans les sous-systèmes réseau et la programmation du noyau : un module autopropulsé, une route de configuration accessible aux utilisateurs non privilégiés et une défaillance de mémoire qui transforme cette route en une échelle de privilèges efficace. En résumé, la correction d'un CVE spécifique résout cette instance, mais laisse intact le schéma qui permettra au prochain défaut similaire de se produire si les mesures de confinement structuraux ne sont pas mises en œuvre.

Pour les utilisateurs utilisant Claude Cowork dans macOS, je recommande, dans cet ordre : de s'assurer que l'application est à jour et de préférer l'exécution en nuage s'il n'est pas nécessaire de travailler en local ; de revoir les préférences et d'éviter de partager la racine du système (/) avec la VM ; de monter uniquement les dossiers spécifiques requis par la session et, si possible, de le faire en mode lecture ; et de faire pivoter les clés et les identifiants s'il est soupçonné qu'une session locale ait été compromise. Il est également approprié de vérifier les dossiers récents et les dossiers système par une activité inhabituelle et, dans le doute, de révoquer les jetons ou les clés SSH et de les générer à nouveau.

Pour les administrateurs et les développeurs de solutions qui intègrent des agents dans les VM, les recommandations techniques pratiques sont claires : ne pas monter l'ensemble du système hôte avec des permis d'écriture dans la VM; limiter les capacités qui sont données au processus utilisateur dans le conteneur ou la VM (éviter CAP _ NET _ ADMIN si ce n'est strictement nécessaire); désactiver ou restreindre les espaces de noms non privilégiés lorsque l'environnement le permet; durcir les filtres seccomp pour réduire les appels autorisés; empêcher l'auto-utilisation des modules du noyau à partir de contextes exposés; et exécuter des processus de gestion tels que la cabillaud dans un système de reassemblage basé sur l'utilisateur et l'utilisateur pour que non seulement un système convivial et convivial puisse être mis en œuvre.

En plus de ces mesures spécifiques, il convient d'adopter une approche de défense approfondie: contenir l'impact d'une possible escalade de la VM, même avec l'hôte-racine, il n'y a pas de vecteurs faciles à attaquer. Les assemblages en lecture seule, l'exposition réduite des appareils virtuels et une politique claire sur le moment où il est acceptable d'exécuter des modèles localement contre l'exécution dans le cloud aident à réduire la fenêtre d'exposition.

Cet incident rappelle la tension entre fonctionnalité hors ligne et sécurité : la capacité d'exécuter des agents complexes dans une équipe locale présente des avantages de latence et de confidentialité, mais nécessite des contrôles plus stricts sur l'isolement des VM et du noyau. Entre-temps, les fournisseurs devraient accorder la priorité non seulement aux correctifs réactifs, mais aussi aux changements de conception qui éliminent la dépendance à l'égard des routes d'exploitation répétables.

Si vous recherchez une documentation de référence technique sur le cadre de virtualisation Apple et sur la façon dont Linux gère les espaces de noms et de capacités, vous pouvez voir la documentation officielle Apple sur Cadre de virtualisation Apple et le guide du noyau noyau. Le fait de rester informé et de mettre en oeuvre des mesures d'atténuation est le moyen le plus pratique de réduire les risques pendant que la collectivité corrige la surface de l'attaque.