🇰🇷 한글 설명
Claude Code 및 Claude Desktop 플러그인 설치 과정에서 특정 커밋 해시를 검증하지 않는 취약점이 발견되었습니다. 공격자가 Git 호스트에서 커밋 SHA와 동일한 이름의 브랜치를 생성할 경우, 사용자가 안전한 해시를 선택하더라도 공격자의 코드가 설치될 수 있습니다.
💡 쉬운 설명
프로그램이 특정 버전의 코드를 가져올 때, 이름이 똑같은 가짜 경로를 만들어 공격자의 코드를 몰래 설치할 수 있는 문제입니다. 사용자가 안전하다고 믿는 번호를 입력해도 공격자가 만든 코드가 실행될 위험이 있습니다.
🇺🇸 원문 (English)
Claude Code is an agentic coding tool. Prior to 2.1.179, the Claude Code and Claude Desktop plugin installation flow runs git checkout for a marketplace-pinned commit without verifying that the resulting HEAD equals the pinned 40-character SHA. An attacker who controls a plugin repository on a Git host that permits SHA-shaped branch names can create a branch named after the reviewed commit, causing checkout to select the branch tip and install attacker-controlled plugin code. Exploitation requires a user to install the malicious plugin and pin it to the ostensibly safe hash. This issue is fixed in version 2.1.179.
📍 영향받는 시스템
Claude Code 및 Claude Desktop 플러그인 2.1.179 미만 버전
⚔️ 공격 벡터
Git 호스트에 커밋 SHA와 동일한 이름의 브랜치를 생성하여 체크아웃 시 공격자 코드를 주입
🛡️ 대응 방법
Claude Code 및 Claude Desktop 플러그인을 2.1.179 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.1.179보다 낮은지 확인하여 취약 여부를 판단합니다.
claude --version 2>/dev/null | grep -E '2\.[1-9][0-9]{2}'