🇰🇷 한글 설명
Claude Code는 Windows에서 2.1.75 이전 버전일 때 C:\ProgramData\ClaudeCode\managed-settings.json 시스템 전역 설정 파일을 디렉터리 소유권 및 접근 권한 검증 없이 로드합니다. ProgramData는 기본적으로 비관리자 사용자가 쓰기 가능하므로, 권한이 낮은 로컬 사용자가 악성 설정 파일을 배치하여 같은 머신에서 Claude Code를 실행하는 다른 사용자에게 영향을 줄 수 있습니다. 2.1.75 버전에서 수정되었습니다.
💡 쉬운 설명
Windows 공용 컴퓨터에서 일반 사용자가 Claude Code의 시스템 설정 파일을 몰래 바꿔놓을 수 있는 문제입니다. 이 설정을 다른 사용자가 Claude Code로 실행하면 의도하지 않은 동작이 일어날 수 있습니다.
🇺🇸 원문 (English)
Claude Code is an agentic coding tool. In versions prior to 2.1.75 on Windows, Claude Code loaded the system-wide default configuration from C:\ProgramData\ClaudeCode\managed-settings.json without validating directory ownership or access permissions. Because the ProgramData directory is writable by non-administrative users by default and the ClaudeCode subdirectory was not pre-created or access-restricted, a low-privileged local user could create this directory and place a malicious configuration file that would be automatically loaded for any user launching Claude Code on the same machine. Exploiting this would have required a shared multi-user Windows system and a victim user to launch Claude Code after the malicious configuration was placed. This issue has been fixed on version 2.1.75.
📍 영향받는 시스템
Windows용 Claude Code 2.1.75 미만 버전 (다중 사용자 Windows 시스템)
⚔️ 공격 벡터
저권한 로컬 사용자가 ProgramData\ClaudeCode 디렉터리를 생성하고 악성 managed-settings.json을 배치한 뒤, 피해자가 Claude Code를 실행하도록 유도
🛡️ 대응 방법
Claude Code를 2.1.75 이상 버전으로 업데이트하고, 필요 시 C:\ProgramData\ClaudeCode 디렉터리의 접근 권한을 관리자만 쓰기 가능하도록 제한
🔧 검증 코드
출력된 버전이 2.1.75 미만이면 취약하므로 업데이트가 필요하고, 2.1.75 이상이면 수정된 버전이며, 'claude not found'가 나오면 설치되어 있지 않은 것입니다.
claude --version 2>/dev/null || echo 'claude not found'