GoogleCloud連携にセキュリティ修正。パストラバーサルリスク低減
anthropic-sdk-typescript google-cloud-sdk v1.1.3 セキュリティ修正リリース
原題: anthropics/anthropic-sdk-typescript: google-cloud-sdk-v1.1.3
重要度の根拠: セキュリティパッチだが、既知の本番障害・明示的な被害報告なく、マイナーバージョンリリースであるため緊急度は中程度
要約
AnthropicのTypeScript SDK用Google Cloud統合において、v1.1.3でセキュリティ脆弱性が修正されました。具体的には、プロジェクトID・ロケーション・ワークスペースIDのURL生成時にパーセントエンコーディングを適用し、「.」または「..」といった危険な値に対してAnthropicErrorを発生させるようにしました。これはパストラバーサル攻撃やディレクトリトラバーサル攻撃を防ぐための重要な修正です。Google Cloudを使用しているSDK利用者は、この版への更新が推奨されます。
要点
- プロジェクト・ロケーション・ワークスペースIDをパーセントエンコード
- パストラバーサル対策で「.」「..」値を拒否
- AnthropicError発生で安全に失敗
- 破壊的変更なし、上位互換性を維持
開発者向け技術解説（API・実装詳細・破壊的変更）を見る
google-cloud-sdk v1.1.3はGoogle Cloud統合におけるベースURL導出時のセキュリティ修正です。プロジェクト・ロケーション・ワークスペースIDパラメータに対して、URI RFC 3986に準拠したパーセントエンコーディング処理を適用し、相対パス指定「.」「..」がペイロードに含まれた場合はAnthropicErrorをスロー。TypeScriptユーザーがGoogle CloudのエンドポイントセットアップでベースURLをカスタマイズしている場合、この修正により注入攻撃やディレクトリ走査が遮断されます。破壊的変更はなく、アップグレード時の移行手順は不要です。
本文の日本語訳（全文）を見る
### バグ修正
* **google-cloud:** プロジェクト、ロケーション、ワークスペースID を派生ベース URL のパーセントエンコード処理を行い、「.」または「..」の値に対して `AnthropicError` をスロー
出典: https://github.com/anthropics/anthropic-sdk-typescript/releases/tag/google-cloud-sdk-v1.1.3
媒体: SDK (anthropic-sdk-typescript)
※本記事は Anthropic / Claude 関連の公開情報を基に AI (OpenAI GPT-4o-mini) が日本語で要約・分類した二次的著作物です。著作権法第32条の引用要件に基づき出典 URL を必ず併記しています。要約は AI 生成のため誤訳・誤解釈を含む可能性があります。詳細・正確な情報は必ず出典元の原文をご確認ください。