Plugin4Shell: to'rtta mashhur AI kod yordamchisida bitta zaiflik

Claude Code, Codex, GitHub Copilot va Gemini CLI plaginlarni yuklash tizimida hech qanday bosishsiz kod bajarish imkonini beruvchi zaiflik topildi.

17-sentyabr kuni AIR Security kompaniyasi Plugin4Shell deb nomlangan zaiflikni oshkor qildi. U to'rtta eng mashhur AI kod yordamchisiga — Anthropic'ning Claude Code, OpenAI'ning Codex, GitHub Copilot va Google'ning Gemini CLI vositalariga ta'sir qiladi.

Zaiflik plaginni ma'lum, tekshirilgan versiyaga "qadab qo'yish" (SHA pinning) mexanizmini chetlab o'tadi. Natijada zararli plagin yangilanishi dasturchi hech narsani bosmasdan uning kompyuterida kod bajarishi mumkin edi.

Anthropic Claude Code'ni 2.1.179 versiyada, OpenAI esa Codex'ni 0.146.0 versiyada tuzatdi. Oshkor qilingan paytda Copilot hali tuzatilmagan, Gemini CLI esa tuzatishsiz eskirgan deb e'lon qilingan edi. Tadqiqotchilar zaiflikdan real hujumlarda foydalanilgani haqida dalil topmaganini aytishdi.

Nima qilish kerak: AI kod yordamchisidan foydalansangiz, uni eng so'nggi versiyaga yangilang va faqat ishonchli plaginlarni o'rnating.

Manbalar: Help Net Security, The Register, AIR Security