Claude Agent SDK für Python: Argument-Injection über die Option resume

Zusammenfassung

Das Claude Agent SDK für Python übergibt die Optionen resume und session_id ohne Validierung als separate Argument-Token an die Claude CLI. Ein mit einem Bindestrich beginnender Wert wird als eigenständiges CLI-Flag interpretiert, sodass ein Angreifer Flags wie --mcp-config einschleusen kann. Dadurch kann die CLI einen stdio-MCP-Server starten, der beliebige Befehle ausführt, ausserhalb der Berechtigungskontrollen des SDK. Voraussetzung ist eine Anwendung, die unvertrauenswürdige Eingaben als Session-ID an resume übergibt.

Betroffen

• anthropics claude-agent-sdk-python (Python-Paket claude-agent-sdk) vor 0.2.121

Behoben in

• Version 0.2.121 (der Hersteller übergibt resume und session_id im Format --flag=value)

Umgehung

• Unbekannt.
• Bis zur Aktualisierung Session-IDs aus Benutzereingaben ablehnen, die mit einem Bindestrich beginnen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Zum Zeitpunkt der Erstellung wurden kein öffentlicher Proof of Concept und keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle Projekte mit claude-agent-sdk identifizieren und auf Versionen vor 0.2.121 prüfen.
• Auf 0.2.121 oder neuer aktualisieren.
• Codepfade prüfen, die Benutzereingaben an resume oder session_id übergeben, und bis zur Aktualisierung Werte mit führendem Bindestrich ablehnen.
• Das GitHub-Advisory GHSA-h4mw-j7qp-8mwm auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-h4mw-j7qp-8mwm github.com
• Release v0.2.121 github.com
• Fix commit 347a1cb github.com
• Pull request #1123 github.com
• OSV GHSA-h4mw-j7qp-8mwm osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:17.