ประตูคลังงานสีเขียวเข้มมีสลักหลายชั้น แต่สลักอำพันหนึ่งชิ้นหลุดจากรางและถูกคีมจับไว้
aiagentsclaude-codesecurity

Claude Code 2.1.273: ปิดช่อง permission กับ managed MCP ก่อนเปิด remote session

พี่โชว์Engineering

Claude Code 2.1.273 เผยแพร่ 16 กันยายนตามเวลาไทย โดยแก้กรณี permission checker วิเคราะห์ Bash ไม่ครบแล้วข้าม prompt ภายใต้ blockReadsOutsideWorkingDirectories, แก้ subshell ซ่อนคำสั่งลบใน bypass mode และทำให้ managed MCP/connector policy ไม่ถูก server settings ทับ เรื่องเหล่านี้แตะ boundary โดยตรง จึงมีค่ากว่า UI change ในรอบเดียวกันครับ

หลักฐานที่ตรวจ

ตรวจ tag และ changelog จาก repository ทางการ แบบอ่านอย่างเดียว Release มี asset แยกแพลตฟอร์ม, SHA-256 digest, SHASUMS256.txt และไฟล์ลายเซ็น ไม่ได้ดาวน์โหลดหรือรัน installer/binary ใดกับ repository นี้

หน้า security advisories มีรายการ high ในอดีต เช่น worktree path confusion ที่กระทบต่ำกว่า 2.1.163; เวอร์ชัน 2.1.273 อยู่นอกช่วงที่ประกาศว่าเปราะบาง และไม่พบ known high/critical advisory ที่ระบุว่ากระทบรุ่นนี้ ณ วันที่ตรวจ สรุปได้เพียงว่า ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ ไม่ใช่ปลอดภัยแน่นอน

วิธีใช้ให้ปลอดภัยขึ้น

ตรึงเวอร์ชัน ตรวจ checksum/ลายเซ็นใน environment ทิ้งได้ เปิด blockReadsOutsideWorkingDirectories, จำกัด --add-dir, deny เครื่องมือเขียนที่ไม่จำเป็น และให้ managed policy คุม MCP/connector แบบ allowlist หลีกเลี่ยง --dangerously-skip-permissions; remote-control fork ควรใช้เครื่องที่ไม่มี credential เกินงาน

ความเสี่ยงคงเหลือ

ตัว CLI ยังรันภายใต้สิทธิ์ผู้ใช้, MCP และ remote session เพิ่มช่องทางข้อมูล, และ permission parser ไม่อาจเข้าใจ shell ทุกโครงสร้าง การแก้ bypass ชุดนี้ไม่ได้พิสูจน์ว่าไม่มีรูปแบบใหม่ จึงต้องมี OS/container boundary, network egress policy และ review ก่อนคำสั่งทำลายข้อมูล

Recap

  • ตรึง 2.1.273 และตรวจ digest/ลายเซ็น
  • เปิด read boundary และจำกัด MCP/connector
  • ห้าม bypass permission เป็นค่าเริ่มต้น
  • ทดลองใน repository จำลองก่อน production