GitSpawn: Die .git/config eines weitergegebenen Repos führt Code außerhalb der Sandbox von Coding-Agenten aus

Richten Sie einen Coding-Agenten nie auf ein Repository, das als Dateien bei Ihnen angekommen ist: als Archiv, auf einem geteilten Laufwerk, in einem Sync-Ordner oder auf einem USB-Stick. Klonen Sie es stattdessen vom Remote. Laut The Hacker News setzt die Ausnutzung voraus, dass "das Repository als Dateien mit intaktem .git-Verzeichnis ankommt", und bei "einem gewöhnlichen Clone" bleibt dieses nicht erhalten. Diese eine Gewohnheit schließt jeden unten genannten Pfad, auch die vier, für die es beim Retest von Manifold am 1. September keinen Fix gab: den Pfad über claude ultrareview in Claude Code, Hermes Agent, Qwen Code und Grok Build.

Betroffen sind Claude Code, OpenAI Codex, Cursor und Grok Build CLI sowie goose, Hermes Agent und Qwen Code, die nicht in unserem Verzeichnis stehen.

Was ist passiert

Manifold Security hat GitSpawn am 1. September 2026 veröffentlicht, The Hacker News berichtete am 2. September darüber.

Die Git-Einstellung core.fsmonitor benennt einen Befehl, den Git ausführt, um geänderte Dateien zu finden, und Git liest sie aus der .git/config des Repositorys selbst. The Hacker News formuliert es so: "Jede Operation, die den Index aktualisiert, einschließlich git status und git diff, führt diesen Befehl aus." Coding-Agenten führen genau diese Befehle im Hintergrund aus, um den Workspace zu erfassen.

OpenAIs CVE-Eintrag für Codex, CVE-2026-19592, beschreibt die Folge: "Der Helper läuft außerhalb der Befehls-Sandbox von Codex und ohne Bestätigungsabfrage an den Nutzer, sodass vom Angreifer kontrollierter Code mit den Rechten des Nutzers laufen kann."

Status, datiert nach der jeweils belegenden Quelle

Wir haben beide Quellen am 23. September erneut gelesen: Manifolds Beitrag enthält ein einziges Update vom 1. September, der Artikel von The Hacker News wurde nach dem 2. September nicht aktualisiert. Seitdem sind neuere Releases erschienen (Claude Code 2.1.280 und Qwen Code 0.24.4 waren am 23. September die neuesten), und wir haben nicht bestätigt, ob sie diese Pfade schließen. Betrachten Sie die vier Statusangaben als nur bis zum 1. September bestätigt.

Zu den Advisories: Das GitHub-Advisory von goose führt CVE-2026-72718 mit einem CVSS-4.0-Base-Score von 7,0, "der einzige Score, den einer dieser Befunde trägt". Hermes Agent hat CVE-2026-71963, vergeben von VulnCheck, "einer unabhängigen CVE Numbering Authority, nicht dem Hersteller", und laut Manifold wurde das private GHSA-Advisory "nie triagiert". The Hacker News stellte fest, dass Anthropics veröffentlichter Advisory-Bestand "keinen der beiden Claude-Code-Befunde abdeckt". Keine Quelle berichtet von einer Ausnutzung: Der Known-Exploited-Vulnerabilities-Katalog der CISA (Version 2026.09.01) führt keine dieser CVEs.

Warum es wichtig ist

Das Timing hebelt das übliche Sicherheitsnetz aus. Bei Claude Code und Hermes Agent wird die Payload ausgelöst, bevor die Workspace-Trust-Abfrage bestätigt ist, bei Qwen Code, bevor sich der Nutzer authentifiziert hat, und bei Grok Build beim ersten Tastendruck.

Der zweite Pfad in Claude Code "aktiviert einen anderen Git-Konfigurationsschlüssel, den Manifold zurückhält", und claude ultrareview "führt den Befehl des Repositorys beim Start aus, noch bevor das angeforderte Review beginnt". Weil er einen anderen Schlüssel nutzt, ist nicht dokumentiert, dass das Deaktivieren von core.fsmonitor ihn schließt.

Für Claude Code ist es außerdem eine Regression. Version 2.0.34 (5. November 2025) hatte dieselbe Fehlerklasse entschärft, indem sie git status nicht mehr vor der Trust-Freigabe ausführte. Laut Manifold ist dieses Startverhalten in 2.1.193, erschienen am 25. Juni 2026, jedoch wieder da.

Was sich für Sie ändert

• Klonen Sie vom Remote, statt eine weitergegebene Kopie mit intaktem .git-Verzeichnis zu öffnen.
• Prüfen Sie in jedem weitergegebenen Verzeichnis die .git/config auf core.fsmonitor, core.hooksPath und Attributfilter, und führen Sie darin git config --get core.fsmonitor aus.
• Setzen Sie git config --global core.fsmonitor false.
• Aktualisieren Sie Codex, goose und Claude Code mindestens auf die oben genannten Versionen mit Fix.
• Führen Sie claude ultrareview nicht in einem Verzeichnis aus, das Sie nicht selbst geklont haben.
• Behandeln Sie Hermes Agent, Qwen Code und Grok Build als ungepatcht, bis ihre Maintainer einen Fix bestätigen; beim Retest von Manifold am 1. September hatte keiner von ihnen einen.

Wo unsere Urteile stehen

Claude Code bleibt bei "Bedingt", OpenAI Codex bei "Empfohlen", Cursor bei "Bedingt" und Grok Build CLI bei "Vorsicht". Keines davon ändert sich allein wegen dieses Befunds. Der Unterschied liegt in der Reaktion: Codex und goose haben Fixes mit CVEs ausgeliefert, die CVE für Hermes Agent kam von einem Dritten, und Anthropics veröffentlichter Advisory-Bestand deckte mit Stand 2. September keinen der beiden Claude-Code-Pfade ab.

FAQ

Bin ich überall geschützt, wenn ich core.fsmonitor auf false setze? Nein. Das deckt die Pfade über core.fsmonitor ab, aber der Pfad über claude ultrareview in Claude Code nutzt einen anderen Schlüssel, den Manifold nicht offengelegt hat.

Ist ein normales git clone sicher? Laut The Hacker News bewahrt ein gewöhnlicher Clone die .git/config des Angreifers nicht. Der Angriff braucht also ein Repository, das als Dateien angekommen ist.

Wird das bereits ausgenutzt? Keine Quelle berichtet von einer Ausnutzung, und keine der CVEs war in Version 2026.09.01 des Known-Exploited-Vulnerabilities-Katalogs der CISA gelistet.