Claude Code 2.1.319 und 2.1.321 schließen einen Sandbox-Ausbruch bei Worktrees und ein MCP-OAuth-Token-Leck. Jetzt aktualisieren

Urteil: Aktualisieren Sie heute auf 2.1.321 (enthält 2.1.319). Das Changelog von Claude Code listet acht Sicherheitsfixes in zwei Releases im Abstand von drei Tagen: einen Sandbox-Ausbruch, ein Token-Leck und sechs Umgehungen von Berechtigungen oder der Sandbox. Keiner davon hat eine CVE oder ein Advisory. Wenn Sie die Sicherheit von Claude Code über Advisory-Feeds oder Scanner verfolgen, wurden Sie nicht informiert. Unser Urteil zu claude-code bleibt Bedingt: Die Fixes sind willkommen, aber Sicherheitshinweise per Changelog-Zeile sind genau der Grund, warum es nicht höher ausfällt.

Was passiert ist

Anthropic hat Claude Code 2.1.319 am 6. November 2026 und 2.1.321 am 9. November 2026 veröffentlicht. Version 2.1.320 taucht im Changelog nicht auf. Als wir das Changelog am 10. November prüften, listete es diese Fixes, wörtlich zitiert:

2.1.321 (9. November)

• „Behoben: MCP-OAuth-Anfragen sendeten Secrets wie Refresh-Tokens an einen anderen Host, wenn ein Server sie weiterleitete"
• „Behoben: Ein schreibgeschützter Bash-Befehl lief ohne Berechtigungsnachfrage außerhalb der Sandbox"
• „Behoben: Bash-Berechtigungsprüfungen bewerteten einen Schreibzugriff auf eine Datei aus dem falschen Ordner und fragten nicht nach"
• „Behoben: Deny-Regeln und Nachfragen zu geschützten Dateien griffen nicht bei der Datei, die ein cp- oder mv-Befehl in ein Verzeichnis schreibt"

2.1.319 (6. November)

• „Behoben: Sandbox-Ausbruch beim Erstellen eines Worktrees"
• „Behoben: Umgehung der Bash-Berechtigungen, bei der ein präpariertes Umgebungspräfix einen Teil eines Befehls vor den Berechtigungsprüfungen verbergen konnte"
• „Behoben: Ein sed-Befehl konnte die Berechtigungsprüfung im Accept-Edits- und Auto-Modus überspringen"
• „Behoben: /rewind konnte eine Datei über einen Verzeichnis-Symlink wiederherstellen oder löschen"

Eine Verhaltensänderung für Gateway-Nutzer (2.1.319)

2.1.319 ändert den Auto-Modus, wenn Telemetrie oder Feature-Flags deaktiviert sind, auch hinter LLM-Gateways: „Aufrufe, die der Server nicht prüfen kann, werden nachgefragt oder abgelehnt, ohne Rückfall auf den eingebauten Klassifikator". Mit CLAUDE_CODE_AUTO_MODE_SERVER=0 bleibt der eingebaute Klassifikator erhalten. Laut Changelog bleiben Bedrock, Vertex und Foundry unverändert.

Warum es wichtig ist

Noch einmal: Das sind Sicherheitsfixes, ausgeliefert als gewöhnliche Changelog-Zeilen. Drei davon verdienen Priorität.

• MCP-OAuth-Redirect. Wenn Sie sich mit MCP-Servern verbinden, die Sie nicht selbst betreiben, kann ein Redirect Ihr Refresh-Token zu einem anderen Host tragen. Das ist eine Offenlegung von Credentials, nicht nur eine Nachfrage, die Sie übersehen haben.
• Sandbox-Ausbruch bei Worktrees. Wer sich beim parallelen Lauf mehrerer Agenten in Worktrees auf die Sandbox verließ, war weniger abgeschirmt als angenommen.
• Umgehungen der Berechtigungen. Die Fixes für das Umgebungspräfix, sed, den falschen Ordner und cp/mv beschreiben allesamt Befehle, die an den Prüfungen vorbeirutschen konnten, auf die der Accept-Edits- und der Auto-Modus angewiesen sind.

Was sich für Sie ändert

FAQ

Gibt es eine CVE für einen dieser Fixes? Nein. Das Changelog ist der einzige Hinweis. Schwachstellen-Scanner und Advisory-Feeds werden ältere Versionen daher wahrscheinlich nicht melden.

Brauche ich zuerst 2.1.319? Nein. Die Installation von 2.1.321 enthält alles aus 2.1.319.

Betrifft die Auto-Modus-Änderung Bedrock, Vertex oder Foundry? Nein. Laut Changelog bleiben diese Anbieter unverändert.