JVNDB-2026-011004

Anthropic PBCのClaude SDK for Pythonにおける複数の脆弱性

Python向けClaude SDKは、PythonアプリケーションからClaude APIへアクセスする機能を提供します。バージョン0.86.0から0.87.0未満の間、Anthropic Python SDKのローカルファイルシステムメモリツールはモード0o666でメモリファイルを作成しており、標準的なumask設定のシステムではこれらのファイルが全ユーザーに読み取り可能でした。また、多くのDockerベースイメージのような許容的なumaskの環境では全ユーザーに書き込み可能となっていました。共有ホスト上のローカル攻撃者は保持されたエージェント状態を読み取ることができ、コンテナ化された展開環境ではメモリファイルを変更して後続のモデルの挙動に影響を与える可能性がありました。同期および非同期の両方のメモリツールの実装がこの問題の影響を受けていました。この問題はバージョン0.87.0で修正されています。

Anthropic PBC

• Claude SDK for Python 0.86.0 以上 0.87.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Insecure Default File Permissions in Local Filesystem Memory Tool  Advisory  anthropics/anthropic-sdk-python  GitHub

1. 不適切なデフォルトパーミッション(CWE-276) [その他]
2. 重要なリソースに対する不適切なパーミッションの割り当て(CWE-732) [その他]

1. CVE-2026-34450

1. National Vulnerability Database (NVD) : CVE-2026-34450
2. 関連文書 : Release v0.87.0  anthropics/anthropic-sdk-python  GitHub
3. 関連文書 : fix(memory): use restrictive file mode for memory files  anthropics/anthropic-sdk-python@715030c  GitHub

• [2026年04月15日]
    掲載