تسريب أسرار حساسة عبر "كلود كود" على "جيت هاب"

كشفت الأبحاث الأمنية عن ثغرة في "كلود كود" قد تؤدي إلى تسريب معلومات حساسة، بما في ذلك كلمات مرور قواعد البيانات ورموز الوصول، عبر منصة "جيت هاب" العامة.

اكتشف باحثون أمنيون من شركة "أبيرو" (Apiiro) أن ملفات الإعدادات الخاصة بـ "كلود كود" قد تحتوي على أسرار حساسة، والتي تم العثور عليها في آلاف الملفات المضمنة في مستودعات "جيت هاب" العامة. تنبع هذه المشكلة من طريقة تعامل "كلود كود" مع موافقة المستخدم على الأوامر التلقائية، حيث يتم تخزين هذه الموافقات، بما في ذلك أي معلومات حساسة قد تكون جزءًا من الأمر، في ملف الإعدادات المحلي ".claude/settings.local.json".

على الرغم من أن هذا الملف عادة ما يتم إضافته إلى قائمة ".gitignore" العامة للمطور، مما يمنع مشاركته علنًا، إلا أن هذا الإعداد لا يتم تطبيقه على مستوى المستودع نفسه. هذا يعني أن الملف يمكن تحميله عن طريق الخطأ إلى "جيت هاب" إذا تم استنساخ المستودع إلى جهاز آخر أو إذا تم تحويل مجلد إلى مستودع لاحقًا. في كثير من الحالات، قد يقوم "كلود كود" نفسه بتأكيد التغييرات في ملف الإعدادات دون تدخل مباشر من المستخدم.

أشارت الأبحاث إلى وجود أكثر من 100,000 حالة تم فيها تحميل ملف الإعدادات المحلي لـ "كلود كود" إلى مستودع "جيت هاب" عام. من بين هذه الحالات، احتوى حوالي 1,100 ملف من 63 منظمة مختلفة على أسرار مثل رموز الوصول العامة، وكلمات مرور قواعد البيانات، أو المفاتيح الخاصة. وحتى بعد اكتشاف هذه الملفات وإزالتها، قد تظل الأسرار موجودة في النسخ المتفرعة من المشروع الأصلي إذا لم يكن المستخدم حذرًا.