무슨 일이 있었나
SubprocessCLITransport._build_command의 CVSS 9.2(v4.0) 인수 주입 결함: resume 옵션이 검증 없이 별도의 argv 토큰으로 Claude CLI에 전달되므로, 대시로 시작하는 값은 새로운 CLI 플래그로 구문 분석됩니다. 공격자는 --mcp-config 플래그를 주입하여 stdio MCP 서버를 등록하고 CLI 시작 시 임의 명령을 실행하여 SDK의 권한 게이트를 우회할 수 있습니다. 0.2.121에서 수정됨; NVD REST 확인(2026-10-16 게시).
왜 중요한가
이는 일반적인 에이전트 자동화 패턴(외부에서 제공된 세션 ID로 Claude Code 세션 재개)을 에이전트를 실행하는 머신에서의 임의 코드 실행으로 전환합니다. 이는 Anthropic 자체 SDK에서의 새로운 CLI 플래그 주입 공격 클래스입니다. 에이전트의 안전장치는 주입된 MCP 서버를 보거나 승인하지 않으므로, 웹 요청, 메시지 또는 프롬프트 주입 문서에서 가져온 오염된 세션 참조가 사용자의 전체 Claude Code 권한으로 공격자 코드를 조용히 실행할 수 있습니다.
공격 경로
하위 프로세스 전송은 Claude CLI argv를 두 개의 별도 토큰(["--resume", value])으로 구성합니다. CLI가 대시로 시작하는 값을 새 플래그로 처리하므로, resume 값을 제어하는 공격자는 --mcp-config를 주입하여 stdio MCP 서버를 정의할 수 있으며, SDK 권한 제어 외부에서 CLI 시작 시 임의 명령이 실행됩니다. 앱이 공격자 영향 하의 입력으로 세션을 재개할 때 트리거됩니다.
영향받는 시스템
anthropics/claude-agent-sdk-python < 0.2.121
완화 방안
claude-agent-sdk-python 0.2.121(커밋 347a1cb; GHSA-h4mw-j7qp-8mwm)로 업그레이드하세요. 수정 사항은 --resume=<value>를 단일 토큰으로 내보내 대시로 시작하는 값이 유효하지 않은 세션 ID로 거부되도록 합니다. --session-id도 동일하게 강화되었습니다. 업그레이드할 때까지 호출자 제공 세션/재개 식별자를 신뢰할 수 없는 것으로 취급하십시오.