シンボリックリンク – TokyoBlackHatNews

cyberpress.org 2026年7月28日 17:13

LegacyHiveがWindowsのプロファイル読み込みを悪用し管理者のレジストリハイブを乗っ取る

Nightmare-Eclipseという情報開示アクターが、最新のWindows向け概念実証(PoC)コード「LegacyHive」を公開しました。これはGreenPlasma、YellowKey、MiniPlasma、RoguePlanet、GreatXMLに続く一連の公開に続くものです。従来の脆弱性開示とは異な

cyberpress.org 2026年7月27日 15:20

Claude Codeのシンボリックリンクに関する欠陥、承認を経ずに機密ファイルを密かに流出させる

Anthropic製のAIコーディングアシスタント「Claude Code」に新たに発見された欠陥により、攻撃者が管理するリポジトリがプロジェクトディレクトリ外のファイルを密かに読み取り、その内容をリモートサーバーへ送信できることが明らかになりました。しかもこの動作は、AIモデルが何らかのアクションを実行する前に発生

gbhackers.com 2026年7月27日 15:09

Claude Codeのシンボリックリンクの欠陥、ユーザー承認なしに機密ファイルを外部流出

Claude Codeには、起動時のメモリ読み込み処理においてシンボリックリンク（symlink）の扱いに関する欠陥があり、クローンしたリポジトリの外部にある読み取り可能なファイルが、明示的なユーザー承認を経ることなく意図せず露出してしまう可能性があることがわかりました。この問題は、ツールがシンボリックリンクをたど

csoonline.com 2026年7月10日 08:00

AIコーディングツールの脆弱性が示す、「人間による確認」という仕組みの大きな落とし穴

Amazon、Anthropic、Google、Cursorなどに影響したこの欠陥は、AIエージェントが人間に虚偽の情報を提示し、誤った判断を下させることを可能にしていました。サイバーセキュリティ研究企業Wizによると、AI開発ツー

infosecurity-magazine.com 2026年7月9日 20:08

GhostApprovalの欠陥、6つの主要AIコーディングアシスタントに影響

6つの主要なAIコーディングアシスタントに共通する欠陥が見つかりました。この欠陥は承認プロンプトを単なる形式的な儀式に変えてしまい、悪意あるリポジトリが開発者のマシン上の機密ファイルに書き込みを行えるようにするほか、最悪の場合はリモートコード実行にもつながる恐れがあります。 Wiz Researchはこの欠陥を「Gho

cyberpress.org 2026年7月9日 17:35

「GhostApproval」の欠陥、AIコーディングアシスタントにワークスペースサンドボックス外へのファイル書き込みを許してしまう

GhostApprovalと名付けられた新たに公表された脆弱性パターンが、主要なAIコーディングアシスタント6製品に影響を及ぼしています。悪意あるリポジトリを利用してエージェントを騙し、本来の作業ワークスペースサンドボックスの外にファイルを書き込ませることが可能で、開発者のマシンでリモートコード実行につながる恐れがあ

theregister.com 2026年7月8日 23:04

大手AIコーディングエージェントに見つかったバグが示す、Unix時代からのセキュリティ問題が今なお生き続ける現実

広く使われているAIコーディングアシスタントのうち少なくとも6製品に「体系的な脆弱性パターン」が存在し、これを悪用するとエージェントを騙してワークスペースのサンドボックス外にあるファイルにアクセスさせ、最終的には開発者のマシン上でリモートコード実行に至る可能性があることが分かりました。Google傘下のセキュ

gbhackers.com 2026年6月10日 21:08

WindowsのCTFコンポーネントにゼロデイ脆弱性——権限昇格の恐れ

Microsoftは、Windows Collaborative Translation Framework（CTFMON）に新たなゼロデイ脆弱性が存在することを公表しました。この脆弱性が悪用されると、攻撃者が影響を受けるシステム上で権限を昇格できる可能性があります。この脆弱性はCVE-2026-45586として追

cyberpress.org 2026年6月10日 20:56

Windows Collaborative Translation Framework のゼロデイ脆弱性、権限昇格を可能に

Microsoftは、Windows Collaborative Translation Framework（CTF）に存在する公開済みの脆弱性にパッチを適用しました。この脆弱性は、低権限の攻撃者がユーザー操作なしにSYSTEMレベルの完全な権限へと昇格できるものです。 CVE-2026-45586として追跡されてい

securityweek.com 2026年5月27日 19:57

「SymJack」攻撃：AIコーディングエージェントをサプライチェーン攻撃の配送システムに変える

信頼と自動化は多くの攻撃において重要な要素であり、AIコーディングエージェントの利用にはその両方が本質的に備わっている。悪意のあるリポジトリは多くのサプライチェーン攻撃において頻繁に関与しており、その割合は20〜40%と推定されている。こうしたリポジトリは、AIコーディングエージェントを使用する開発者を騙して不正な