Selon LayerX (par Roy Paz), une vulnérabilité d’exécution de code à distance (RCE) sans clic affecte les extensions Claude Desktop (MCP), permettant à un événement Google Agenda malveillant de déclencher l’exécution de code local avec privilèges. L’impact concerne plus de 10 000 utilisateurs actifs et environ 50 extensions DXT, avec un score CVSS de 10/10.

⚠️ Nature du problème: Les extensions Claude Desktop (serveurs MCP) s’exécutent sans sandbox et avec des privilèges système complets. Claude peut chaîner automatiquement des connecteurs à faible risque (ex. Google Agenda) vers des exécutables locaux à haut risque, sans consentement utilisateur. Cette violation des limites de confiance permet de transférer des données issues d’une source bénigne vers un contexte d’exécution privilégié.

🔗 Chaîne d’exploitation: Aucune obfuscation ni prompt injection avancée n’est requise. Une demande utilisateur vague (ex.: « Veuillez consulter mes derniers événements dans Google Agenda et vous en occuper ensuite. ») suffit pour que Claude interprète “s’en occuper” comme une permission d’exécuter du code local via MCP. Un événement de calendrier nommé « Gestion des tâches » peut contenir des instructions conduisant à l’exécution arbitraire de code.

🧪 Exemple d’événement malveillant (déclencheur):

📌 Statut et portée: LayerX indique avoir informé Anthropic, qui a décidé de ne pas corriger la vulnérabilité pour le moment. Le problème est architectural, lié aux flux de travail LLM pilotant des connecteurs MCP et à l’absence de garde-fous empêchant le transfert implicite de données entre profils de risque hétérogènes. L’article met en avant une surface d’attaque étendue tant que ces mécanismes demeurent.

IOCs:

TTPs:

  • Chaînage automatique de connecteurs faible risque → haut risque (MCP)
  • Exécution de commandes locales avec privilèges via extension MCP
  • Déclenchement sans clic par événement Google Agenda malveillant
  • Absence de sandbox et de consentement explicite dans le flux de travail

Conclusion: Il s’agit d’un rapport de vulnérabilité exposant une faille RCE sans clic dans l’écosystème MCP de Claude Desktop, avec démonstration de scénario d’exploitation et mise en évidence d’un risque systémique de flux de travail.

🧠 TTPs et IOCs détectés

TTP

Chaînage automatique de connecteurs faible risque → haut risque (MCP); Exécution de commandes locales avec privilèges via extension MCP; Déclenchement sans clic par événement Google Agenda malveillant; Absence de sandbox et de consentement explicite dans le flux de travail

IOC

URL référencée dans l’exemple: https://github.com/Royp-limaxraysierra/Coding.git; Chemin local mentionné: C:\Test\Code

🔗 Source originale : https://layerxsecurity.com/fr/blog/claude-desktop-extensions-rce/