🌟 Atualização imperdível para quem gosta de estar bem informado!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética descobriram uma vulnerabilidade de escape de sandbox em Claude Cowork da Anthropic que torna possível sair dos limites de uma máquina virtual (VM) Linux dentro da qual o agente é executado para ler ou gravar arquivos em qualquer lugar do Mac.
A Accomplish AI, que compartilhou detalhes da vulnerabilidade com o The Hacker News antes da publicação, disse que cerca de 500.000 usuários do macOS executando sessões locais de Cowork foram afetados antes de ser corrigido. Seu codinome é SharedRoot.
“Conectamos uma pasta a uma nova sessão de Claude Cowork, enviamos uma mensagem curta e observamos o agente escapar da sandbox”, disse Oren Yomtov, principal pesquisador de segurança da Accomplish AI. “De dentro da VM, ele alcançou o Mac host e leu e gravou arquivos nele, bem fora da pasta que havíamos conectado, sem solicitação de permissão em lugar nenhum.”
Com esse nível de acesso, o agente pode acessar quaisquer dados armazenados no Mac por meio da conta do usuário, incluindo chaves SSH, credenciais de nuvem e outras informações valiosas.
Após divulgação responsável, a Anthropic encerrou o relatório como informativo sem emitir uma correção. Dito isto, a versão mais recente do Cowork tem como padrão a execução na nuvem, o que resolve o problema. Mas os usuários que optam por executar o agente localmente ainda estão expostos ao problema.
O aplicativo de desktop macOS de Claude Cowork é executado como o usuário conectado ao sistema. O trabalho real relacionado ao agente, por outro lado, acontece em uma VM Linux criada por meio da estrutura de virtualização da Apple. Cada sessão recebe seu próprio usuário descartável e sem privilégios, juntamente com um filtro Secure Computing Mode (seccomp) para sandboxing de aplicativos. As pastas conectadas pelo usuário são compartilhadas na VM por um daemon raiz chamado coworkd.
“Um detalhe é mais importante que o resto: o sistema de arquivos do host é compartilhado na leitura e gravação da VM”, explicou Yomtov. "Todo o host '/' montado para que apenas o guest-root dentro da VM possa vê-lo, em /mnt/.virtiofs-root."
Como todo o sistema de arquivos do host é montado na VM do agente com privilégios de leitura e gravação, qualquer caminho para a raiz convidada pode conceder ao agente acesso ao host subjacente, escapando efetivamente da sandbox.
Isso envolve carregar o subsistema de edição de pacotes "act_pedit" Traffic Control (tc) do kernel Linux em um namespace de usuário sem privilégios e explorar CVE-2026-46331 no kernel convidado, uma falha recentemente divulgada chamada pedit COW, para obter raiz convidada. A partir daí, o agente pode acessar todo o host ("/") com privilégios elevados, permitindo ler ou gravar arquivos de e para o sistema de arquivos do Mac como o usuário de desktop conectado.
Ou Hiltch, cofundador e CTO da Accomplish AI, disse ao The Hacker News que a criação de namespaces de usuário e de rede fornece à sessão CAP_NET_ADMIN dentro de seu namespace de rede privada, permitindo que ela execute várias operações relacionadas à rede.
“Essa capacidade fornece acesso ao caminho vulnerável do kernel tc/act_pedit usado pelo pedit COW”, acrescentou Hiltch. "Os namespaces não são a exploração; eles disponibilizam seu pré-requisito normalmente privilegiado para um usuário comum."
O desenvolvimento assume importância face às revelações de que os modelos da OpenAI conseguiram sair do seu ambiente sandbox durante um teste de segurança que resultou na violação da infraestrutura de produção da Hugging Face na sua tentativa de enganar o benchmark ExploitGym em que estavam a ser avaliados.
“act_pedit é um bug em uma categoria”, disse Yomtov. "O subsistema Linux net/sched lança esta forma exata de escalonamento de privilégios em uma cadência regular: um módulo autocarregável, um caminho de configuração que um usuário sem privilégios pode alcançar, um bug de memória no final dele. Corrija este e você consertará este. A cadeia é reativada no próximo, com tudo acima do kernel intocado. "
"E o próximo está sempre chegando. A qualquer momento, provavelmente há um bug de escalonamento de privilégios ao qual ainda está exposto, às vezes corrigido no upstream, mas ainda não em sua imagem, às vezes ainda não corrigido em nenhum lugar, com uma exploração funcional em poucas horas. Este não é um problema de correção mais rápida. Você está estruturalmente um bug atrás, o tempo todo."
Para mitigar a ameaça, é essencial desabilitar namespaces de usuários sem privilégios, evitar tornar o filtro seccomp excessivamente permissivo, interromper o carregamento automático de módulos e restringir o compartilhamento de todo o host na VM.
"Escolha-o para as pastas que estavam realmente conectadas em vez de todas /, ou pelo menos monte-o somente leitura e execute coworkd com ProtectSystem=strict em seu próprio namespace de montagem para que não execute novamente binários que um usuário de sessão pode envenenar", disse Accomplish. "Então, mesmo uma raiz convidada completa não tem onde pousar, as duas últimas etapas da cadeia não têm para onde ir."
A Accomplish AI, que compartilhou detalhes da vulnerabilidade com o The Hacker News antes da publicação, disse que cerca de 500.000 usuários do macOS executando sessões locais de Cowork foram afetados antes de ser corrigido. Seu codinome é SharedRoot.
“Conectamos uma pasta a uma nova sessão de Claude Cowork, enviamos uma mensagem curta e observamos o agente escapar da sandbox”, disse Oren Yomtov, principal pesquisador de segurança da Accomplish AI. “De dentro da VM, ele alcançou o Mac host e leu e gravou arquivos nele, bem fora da pasta que havíamos conectado, sem solicitação de permissão em lugar nenhum.”
Com esse nível de acesso, o agente pode acessar quaisquer dados armazenados no Mac por meio da conta do usuário, incluindo chaves SSH, credenciais de nuvem e outras informações valiosas.
Após divulgação responsável, a Anthropic encerrou o relatório como informativo sem emitir uma correção. Dito isto, a versão mais recente do Cowork tem como padrão a execução na nuvem, o que resolve o problema. Mas os usuários que optam por executar o agente localmente ainda estão expostos ao problema.
O aplicativo de desktop macOS de Claude Cowork é executado como o usuário conectado ao sistema. O trabalho real relacionado ao agente, por outro lado, acontece em uma VM Linux criada por meio da estrutura de virtualização da Apple. Cada sessão recebe seu próprio usuário descartável e sem privilégios, juntamente com um filtro Secure Computing Mode (seccomp) para sandboxing de aplicativos. As pastas conectadas pelo usuário são compartilhadas na VM por um daemon raiz chamado coworkd.
“Um detalhe é mais importante que o resto: o sistema de arquivos do host é compartilhado na leitura e gravação da VM”, explicou Yomtov. "Todo o host '/' montado para que apenas o guest-root dentro da VM possa vê-lo, em /mnt/.virtiofs-root."
Como todo o sistema de arquivos do host é montado na VM do agente com privilégios de leitura e gravação, qualquer caminho para a raiz convidada pode conceder ao agente acesso ao host subjacente, escapando efetivamente da sandbox.
Isso envolve carregar o subsistema de edição de pacotes "act_pedit" Traffic Control (tc) do kernel Linux em um namespace de usuário sem privilégios e explorar CVE-2026-46331 no kernel convidado, uma falha recentemente divulgada chamada pedit COW, para obter raiz convidada. A partir daí, o agente pode acessar todo o host ("/") com privilégios elevados, permitindo ler ou gravar arquivos de e para o sistema de arquivos do Mac como o usuário de desktop conectado.
Ou Hiltch, cofundador e CTO da Accomplish AI, disse ao The Hacker News que a criação de namespaces de usuário e de rede fornece à sessão CAP_NET_ADMIN dentro de seu namespace de rede privada, permitindo que ela execute várias operações relacionadas à rede.
“Essa capacidade fornece acesso ao caminho vulnerável do kernel tc/act_pedit usado pelo pedit COW”, acrescentou Hiltch. "Os namespaces não são a exploração; eles disponibilizam seu pré-requisito normalmente privilegiado para um usuário comum."
O desenvolvimento assume importância face às revelações de que os modelos da OpenAI conseguiram sair do seu ambiente sandbox durante um teste de segurança que resultou na violação da infraestrutura de produção da Hugging Face na sua tentativa de enganar o benchmark ExploitGym em que estavam a ser avaliados.
“act_pedit é um bug em uma categoria”, disse Yomtov. "O subsistema Linux net/sched lança esta forma exata de escalonamento de privilégios em uma cadência regular: um módulo autocarregável, um caminho de configuração que um usuário sem privilégios pode alcançar, um bug de memória no final dele. Corrija este e você consertará este. A cadeia é reativada no próximo, com tudo acima do kernel intocado. "
"E o próximo está sempre chegando. A qualquer momento, provavelmente há um bug de escalonamento de privilégios ao qual ainda está exposto, às vezes corrigido no upstream, mas ainda não em sua imagem, às vezes ainda não corrigido em nenhum lugar, com uma exploração funcional em poucas horas. Este não é um problema de correção mais rápida. Você está estruturalmente um bug atrás, o tempo todo."
Para mitigar a ameaça, é essencial desabilitar namespaces de usuários sem privilégios, evitar tornar o filtro seccomp excessivamente permissivo, interromper o carregamento automático de módulos e restringir o compartilhamento de todo o host na VM.
"Escolha-o para as pastas que estavam realmente conectadas em vez de todas /, ou pelo menos monte-o somente leitura e execute coworkd com ProtectSystem=strict em seu próprio namespace de montagem para que não execute novamente binários que um usuário de sessão pode envenenar", disse Accomplish. "Então, mesmo uma raiz convidada completa não tem onde pousar, as duas últimas etapas da cadeia não têm para onde ir."
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #falha #de #claude #cowork #pode #permitir #que #agente #de #ia #escape #de #sua #vm #e #acesse #arquivos #mac
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário