CVE-2025-59536 - 起動時信頼ダイアログの実装。Claude の脆弱性

重要度: 高 CVSS: 8.8 影響: 機密性、完全性、可用性 公開日: 2025-10-03

法的注意

認可されたセキュリティテストのみを対象としています。

根本原因（概要）

Claude Code はエージェント型コーディングツールです。バージョン 1.0.111 より前のバージョンは、起動時信頼ダイアログの実装におけるバグにより、コードインジェクションに対して脆弱でした。Claude Code は、ユーザーが起動時信頼ダイアログを受け入れる前に、プロジェクトに含まれるコードを実行するよう仕向けられる可能性がありました。これを悪用するには、ユーザーが信頼できないディレクトリで Claude Code を起動する必要があります。標準の Claude Code 自動アップデートを利用しているユーザーは、この修正を自動的に受け取っています。手動アップデートを実行しているユーザーは、最新バージョンに更新することをお勧めします。この問題はバージョン 1.0.111 で修正されています。

悪用要件

• 到達可能な脆弱なターゲット
• 予測可能なユーザー/ワークフローコンテキスト
• 細工されたリクエストをブロックする追加の堅牢化がないこと

使用方法

python3 exploit.py https://target.tld

検出

• 不審な認証フローの逸脱を監視する
• CVE-2025-59536 に関連する異常な直接エンドポイントへのアクセスを調査する

緩和策