🚨 CVE-2026-7574 — Bypass de Integridad de VM de Claude Desktop Cowork

Bypass de Integridad de Imagen de VM de Anthropic Claude Desktop Cowork

🔥 Persistencia Local Mediante Manipulación de Imagen de VM

Una debilidad en la validación de integridad que permite la modificación del archivo de imagen del sistema de archivos de la VM de Claude Desktop Cowork (rootfs.img), habilitando la ejecución persistente de código dentro del entorno de la VM.

📖 Resumen

CVE-2026-7574 es una vulnerabilidad de alta gravedad que afecta a Anthropic Claude Desktop Cowork.

El problema surge porque la aplicación solo valida la existencia y los metadatos de versión de la imagen del sistema de archivos de la máquina virtual (rootfs.img) antes de arrancar la VM. El contenido de la imagen en sí no está verificado criptográficamente.

Esto permite que un atacante con acceso local reemplace o modifique la imagen de la VM y mantenga capacidades de ejecución persistente dentro de la máquina virtual de Cowork.

🎯 Productos Afectados

Versiones Afectadas

⚡ Detalles de la Vulnerabilidad

🧠 Causa Raíz

La aplicación realiza:

Como resultado, una imagen del sistema de archivos de la VM modificada es considerada confiable durante lanzamientos posteriores.

🔍 Flujo de Ataque

💥 Impacto Potencial

Persistencia

Los atacantes pueden mantener la ejecución de código a través de reinicios de la VM.

Exposición de Datos

Acceso a directorios montados entre el host y la VM.

Actividad Posterior al Compromiso

Útil para mantener puntos de apoyo después del compromiso inicial.

Manipulación de la VM

Los entornos modificados pueden ejecutar servicios y scripts controlados por el atacante.

🛠 Lógica de Prueba de Concepto

Solo con fines educativos.

🛡 Detección

Indicadores de Compromiso

• Hora de modificación inesperada de rootfs.img
• Reemplazos no autorizados de imágenes de VM
• Scripts de inicio desconocidos dentro de la VM
• Persistencia que sobrevive a reinstalaciones de la aplicación
• Procesos inesperados dentro de la VM de Cowork

🔒 Mitigación

Acciones Inmediatas

• Restringir el acceso local.
• Monitorear la integridad de la imagen de la VM.
• Implementar auditoría del sistema de archivos.
• Revisar las configuraciones de inicio de la VM.
• Recrear imágenes de VM sospechosas.

Recomendación del Proveedor

Implementar:

📅 Cronología

🏷 Clasificación

📚 Referencias

• Aviso Público de CVE
• Boletín de Seguridad del Proveedor
• Documentación de CWE-353

⚠ Aviso Legal

Este repositorio está destinado a:

• Investigación de Seguridad
• Concientización sobre Vulnerabilidades
• Educación en Seguridad Defensiva
• Preparación para Respuesta a Incidentes

No utilice esta información para atacar sistemas sin autorización explícita.