grassplatypus/cve-2026-45033-classCVE-2026-45033 PoC لـ Claude Code، وليس Github Copilot. نجح مع Haiku 4.5.
core.fsmonitor (PoC)إثبات مفهوم لفئة الثغرة "مستودع git عارٍ خبيث → core.fsmonitor → تنفيذ تعليمات برمجية" (راجع CVE-2026-45033 في GitHub Copilot CLI) تمت إعادة إنتاجه ضد Claude Code، متجاوزًا حارس إذن bash الإضافي الذي أضافه Claude Code ولم يكن لدى Copilot.
النتيجة: تنفيذ تعليمات برمجية داخل الصندوق الرملي لـ Claude Code عندما يشغّل الوكيل أمر git في مستودع زُرعت ملفاته متجاوزةً الحارس. حمولة خاملة (تكتب طابعًا زمنيًا إلى /tmp/.bench-marker).
يعرض Claude Code مطالبة قبل أي أمر bash منفرد يقوم بإنشاء ملفات بنية git (HEAD/objects/refs/hooks) وتشغيل git في الوقت نفسه:
"يُنشئ هذا الأمر ملفات بنية مستودع git (HEAD/objects/refs/hooks) ثم يشغّل git، والذي يمكنه تنفيذ hooks/fsmonitor من الملفات المُنشأة."
طريقتان للالتفاف:
current/HEAD حيث يكون current -> .. الحارس الأقدم يحلّ المسارات معجميًا ولا يرى HEAD أبدًا. (تم إصلاحه من خلال تغيير realpath في الإصدار المُصحح.)mkdir/touch/mv/cp)؛ يتم تجاهل /bin/mkdir أو install أو أي ثنائي مُرفق مع المستودع. (يعمل أيضًا على الإصدار المُصحح.)وفي كلتا الحالتين يصبح دليل المشروع مستودعًا عاريًا صالحًا يُفعَّل فيه core.fsmonitor عند أمر git status التالي.
جزءان:
container/ two Claude Code versions side by side, auto-updater disabled
malicious-repo/ a plausible monorepo that carries the injection
فحص سلامة البيئة (بدون وكيل، يُثبت الآلية):
cd malicious-repo
./build.sh
./verify.sh # clones fresh, runs the planted command, asserts fsmonitor fired
اختبار مباشر ضد Claude Code الفعلي:
cd container
./build.sh # builds an image with both the vulnerable and patched versions
./run.sh login # one-time sign-in (shared across versions)
./run.sh # drops you in the malicious checkout; run claude and follow the prompt
انظر malicious-repo/RUNBOOK.md للحصول على الإجراء المباشر المفصّل خطوة بخطوة والفارق المتوقع بين النسختين.
$HOME./tmp/.bench-marker فقط، لا شيء آخر. لا شبكة، ولا قراءات ملفات، ولا أي إجراء تدميري.