Anthropic: Удаленное выполнение кода в Chrome в один клик

За последние несколько месяцев мы использовали внутреннюю исследовательскую модель, которая еще не была опубликована, для выявления критических уязвимостей в некоторых наиболее широко используемых в мире программах, таких как браузеры и операционные системы. В этом посте мы подробно рассказываем о пяти цепочках атак, которые привели к удаленному выполнению кода и другим критическим последствиям практически без участия пользователя. Эти цепочки атак демонстрируют способность модели создавать сложные многоэтапные эксплойты как для открытого, так и для проприетарного программного обеспечения. Любые уязвимости в этих продуктах могут затронуть миллиарды пользователей. Кроме того, это одно из самых важных с точки зрения безопасности программных обеспечений в мире, что делает его индикатором для исследования уязвимостей моделей и кибервозможностей.

Мы сообщили о каждой уязвимости соответствующему поставщику в рамках нашей согласованной процедуры раскрытия информации об уязвимостях, которая дает разработчикам 90 дней на установку патча и еще 45 дней на то, чтобы мы обсудили детали, выходящие за рамки того, что уже включено в публичное уведомление.

1. Удаленное выполнение кода в Chrome одним щелчком мыши

После первоначальной подсказки Claude написал полную цепочку эксплойтов, позволяющую злоумышленнику выполнять произвольный код от имени пользователя за пределами изолированной программной среды браузера. Наш прототип запускает приложение «Калькулятор» в стандартном браузере Chrome на macOS через несколько секунд после загрузки страницы без какого-либо дополнительного взаимодействия с пользователем:

• Клод обнаружил уязвимость в движке JavaScript Chrome, V8, которая позволяла вредоносной веб-странице повреждать динамическую память V8.
• Клод обнаружил вторую уязвимость, позволяющую выйти за пределы изолированной области памяти V8 и обойти ASLR. На этом этапе он обнаружил код Chrome в памяти и использовал цепочку возвратно-ориентированного программирования (ROP), чтобы получить полный контроль над процессом рендеринга.
• Взломанный рендерер был ограничен изолированной программной средой Chrome. Затем Клод обнаружил состояние гонки в CacheStorage. Взломанный рендерер использовал состояние гонки для чтения памяти за пределами изолированной программной среды и изучения структуры памяти привилегированного процесса браузера.
• Наконец, Клод обнаружил уязвимость use-after-free в FedCM, функции федеративного входа в Chrome, которая позволяла эксплойту выполнять произвольный код за пределами изолированной программной среды.

Мы сообщили о наших выводах в Google: 62 уязвимости CVE были идентифицированы и исправлены в Chrome 156, при этом все они были оценены как критические или с высокой степенью опасности. Среди них 13 уязвимостей, связанных с выходом из изолированной программной среды, и 21 уязвимость, которые могли быть использованы для компрометации рендерера.

2. Цепочка эксплойтов в Safari, запускаемая одним щелчком мыши

После первоначальной подсказки Claude написал цепочку эксплойтов, которая позволяла JavaScript любого веб-сайта полностью обходить политику одинакового происхождения (same-origin policy, SOP). Эксплойт мог получить доступ к истории браузера Safari, файлам cookie и другим конфиденциальным данным пользователя, а также отправлять HTTP-запросы с аутентификацией на другие домены и считывать ответы. Например, если пользователь вошел в свою учетную запись электронной почты, злоумышленник может прочитать его электронную почту; если пользователь вошел в свою учетную запись банка, злоумышленник может просмотреть баланс счета или попытаться осуществить перевод.

Для этого Клод преодолел несколько уровней защиты, встроенных в Safari:

• Клод обнаружил уязвимость типа «использование после освобождения» (use-after-free, UAF) в JavaScriptCore, движке JavaScript для Safari, написанном на C++. Некоторые операции TypedArray записывали данные через устаревшие указатели на освобожденную память, перезаписывая метаданные TypedArray.
• Gigacage в WebKit предотвращает подобные атаки, изолируя данные TypedArray в отдельной области памяти. Клод обнаружил, что некоторые переменные в этой области используются для индексации других областей, что дает ему возможность произвольного чтения и записи за пределами Gigacage.
• Весь JavaScript на веб-сайтах выполняется в изолированной программной среде WebContent, что не позволяет таким уязвимостям, как UAF, получить доступ к конфиденциальным данным браузера на диске. Клод обнаружил уязвимость в механизме IPC изолированной программной среды, которая позволяла эксплойту считывать сохраненную историю, файлы cookie и базы данных сеансов Safari с диска.
• Наконец, Клод использовал уязвимость UAF, чтобы перезаписать переменную в памяти и отключить SOP, что позволило странице злоумышленника считывать данные из любого другого источника.

Эта цепочка интересна тем, что представляет собой атаку только с использованием данных и не требует выполнения произвольного кода. Вместо этого она использует полный доступ на чтение и запись к памяти процесса браузера для изменения флага безопасности, размера объекта и URL-адреса. Некоторые из этих уязвимостей сами по себе не являются таковыми, но представляют собой преднамеренные действия, которые можно использовать в своих целях.

Компания Apple подтвердила получение нашего отчета в тот же день, когда мы его отправили, и оперативно внедрила исправление. Это исправление доступно пользователям.

3. Обход блокировки экрана Android

После первоначальной подсказки Claude написал эксплойт, который позволял злоумышленнику извлекать фотографии и другую личную информацию с украденного телефона Android без его разблокировки. В работе использовались три метода: анализ исходного кода открытых компонентов Android, реверс-инжиниринг и деобфускация двоичных файлов сервисов Google Play, а также тестирование на реальном устройстве Google Pixel 9. В результате был выявлен широкий спектр уязвимостей как в открытых, так и в проприетарных компонентах. Затем Claude объединил три из них в финальный эксплойт.

В Android есть несколько уровней защиты от этой атаки. Клод нашел способ обойти каждый из них:

• Заблокированный телефон Android не предназначен для передачи данных через USB. Клод обнаружил, что USB-хост с определенной настройкой позволяет обойти это ограничение.
• Протокол передачи данных между устройствами отклоняет команды передачи данных от неавторизованных узлов. Клод нашел способ обойти проверку авторизации и запустить процесс сопряжения.
• Сопряжение защищено аутентифицированным соглашением о ключах, которое требует от пользователя подтверждения шестизначного кода. Клод обнаружил уязвимость, которая позволяла обойти эту проверку и действовала так, как если бы пользователь нажал «Разрешить».
• Передача данных по USB не должна осуществляться с передачей содержимого файлов, что обеспечивается встроенной проверкой. Клод нашел резервный механизм, который отправлял необработанные байты по USB и не подвергался проверке. Эксплойт запрашивал через него содержимое файлов.

Эта проблема была решена компанией Google.

4. Удаленный отказ в обслуживании в Windows

После первоначальной подсказки Claude написал эксплойт, который позволил бы злоумышленнику удаленно вывести из строя любой компьютер с Windows, отвечающий на запросы HTTP/3 с использованием встроенной реализации Windows. Сложность в данном случае заключалась в том, чтобы вообще обнаружить уязвимость. После первоначальной подсказки мы сообщили об этой уязвимости напрямую в Microsoft, которая устранила ее и присвоила ей идентификатор CVE-2026-33096.

Уязвимость, которую обнаружил Клод, заключалась в выходе за границы выделенной памяти при чтении в реализации QUIC в ядре Windows. Злоумышленник мог удаленно подключиться к уязвимому участку кода по сети и отправить несколько пакетов данных на прослушивающий сервер, чтобы вызвать сбой и перезагрузку компьютера. Повторяя эти запросы, можно постоянно вызывать сбой сервера, что приведет к потере доступа к серверу для всех пользователей. По нашим оценкам, в интернете может быть несколько миллионов таких серверов.

Клод обнаружил эту уязвимость с помощью бинарного анализа. Мы предоставили модели копию исполняемого файла Windows и попросили Клода провести реверс-инжиниринг, чтобы понять, как работает программное обеспечение, используя существующие инструменты реверс-инжиниринга (например, Ghidra), написать полностью аннотированную программу на языке C, воспроизводящую соответствующие функции, сравнить поведение воспроизведенной программы с бинарным кодом, чтобы убедиться в его корректности, а затем изучить код на предмет уязвимостей. Когда мы попросили Клода выявить потенциально опасные проблемы, он обнаружил эту уязвимость, которую можно использовать удаленно.

5. Удаленное выполнение кода без клика в Linux

Хотя в этом посте речь идет о сторонних продуктах, наша работа с открытым исходным кодом продолжается. С помощью Claude мы обнаружили уязвимости, связанные с локальным повышением привилегий в OpenBSD, FreeBSD и Linux, ряд уязвимостей, связанных с выходом из изолированной программной среды в популярной инфраструктуре песочниц, а также множество уязвимостей в важных веб-приложениях. Мы также обнаружили уязвимости, позволяющие удаленно (без дополнительных действий) выполнять произвольный код в сетевом стеке ядра Linux, которые уже были исправлены разработчиками и обнародованы. Ниже мы приводим один из таких примеров.

После первоначальной подсказки Claude написал эксплойт, который позволяет удаленному злоумышленнику отправлять пакеты на серверы Linux с многопутевым TCP-прослушивателем для выполнения произвольных команд с правами root без каких-либо учетных данных или взаимодействия с пользователем. В основе уязвимости лежит ошибка UAF, вызванная состоянием гонки в сетевом стеке ядра. Эксплуатация уязвимости состоит из двух ключевых этапов:

• На первом этапе злоумышленник удаленно обходит защиту KASLR. Он использует уязвимость, из-за которой ядро считывает поле длины, контролируемое злоумышленником, чтобы скопировать дополнительные байты и отправить их обратно злоумышленнику. Если в ответе содержится указатель на ядро, злоумышленник узнает структуру адресного пространства ядра.
• На втором этапе злоумышленник перехватывает поток управления. Он использует ту же уязвимость UAF для переполнения буфера и перезаписи указателя обратного вызова адресом полезной нагрузки, которую злоумышленник уже разместил в памяти ядра с помощью обычной функции протокола. Когда ядро вызывает обратный вызов, полезная нагрузка запускает последовательность вызовов существующих функций ядра. В конце выполняется выбранная злоумышленником команда оболочки с правами суперпользователя.

Преимущество этого состояния гонки заключается в том, что в случае проигрыша не происходит сбоя всей системы, а лишь прерывается процесс установления связи, поэтому решительный злоумышленник может повторять попытки до тех пор, пока не добьется успеха. В нашем эксперименте на утечку указателя ядра ушло 48 минут, а на выполнение команды в оболочке — еще пять минут. Эта уязвимость (CVE-2026-98432) была исправлена и перенесена во все поддерживаемые стабильные ветки ядра.

То, что мы узнали

В процессе использования Claude для обеспечения безопасности мы выявили ряд особенностей, которые повлияли на наш подход. Мы считаем, что две из них особенно важны.

Масштабирование вычислительных ресурсов во время тестирования и разнообразие сканеров значительно увеличивают количество обнаруживаемых уязвимостей. Мы создали платформу, которая параллельно запускает большое количество агентов сканирования, оценивает вклад каждого сканера в общее количество обнаруженных уязвимостей и динамически отслеживает охват, чтобы сканеры могли обработать всю кодовую базу.

Стратегии варьируются от простого покрытия (есть ли уязвимость в этой функции?) до целевого подхода (выдает ли это приложение какие-либо данные, которые могут поставить под угрозу данные клиентов?) и подхода, основанного на модели угроз (выдает ли это приложение какие-либо данные, которые могут поставить под угрозу данные клиентов?). Мы также использовали Claude для автоматического анализа вариантов для каждого подтвержденного результата. Все результаты проходят стандартизированную проверку и оценку рисков, поэтому мы можем свободно экспериментировать с новыми сканерами, не снижая планку качества.

Исправление существующих проблем решает только половину задачи; вторая половина — это снижение скорости появления новых уязвимостей в кодовой базе. Для этого мы рекомендуем проводить сканирование во время PR. Мы внедрили рекомендации по безопасности непосредственно в процесс разработки с помощью плагина Claude Code, который мы опубликовали.

Что это значит для защитников

Модели Frontier способны обнаруживать и объединять несколько уязвимостей в один рабочий эксплойт. Исторически эти навыки были прерогативой нескольких специализированных команд, обладающих экспертными знаниями в этих областях. Теперь модели могут делать это практически без участия человека, а затем создавать рабочий эксплойт, который может запустить и проверить любой желающий.

Предоставление защитникам доступа к мощным моделям имеет решающее значение для того, чтобы они могли опережать злоумышленников в исправлении уязвимостей в системах. Недавно мы выпустили расширенную версию нашей программы проверки кибербезопасности, которая предоставляет квалифицированным специалистам по кибербезопасности доступ к расширенным возможностям в области кибербезопасности и классификаторам с пониженным уровнем блокировок. Она включает доступ к нашим самым мощным моделям, в том числе Claude Opus 5.5, Claude Sonnet 5.5, Claude Mythos 5.1 и другим новым моделям. Наш совет защитникам остается прежним: сканирование собственного кода сейчас важно как никогда.

Телеграм: t.me/ainewsline

Источник: www.anthropic.com

Комментарии: