Auf den Punkt: Eine unauthentifizierte MCP-Bridge in Ruflo ermöglicht mit einer einzelnen HTTP-Anfrage vollständigen Zugriff auf KI-Agenten, LLM-API-Schlüssel und persistente Agent-Speicher.
Eine Schwachstelle in der Open-Source-Plattform Ruflo erlaubt unauthentifizierten Angreifern, über eine freigegebene Model-Context-Protocol-Bridge (MCP) KI-Agenten zu übernehmen und vollständig in Unternehmensumgebungen Fuß zu fassen. Die Lücke CVE-2026-59726 mit CVSS-Score 10.0 betrifft Versionen vor 3.16.3.
Noma Security hat eine kritische Schwachstelle in Ruflo dokumentiert, die als RufRoot bekannt ist. Das Problem liegt in der MCP Bridge, die standardmäßig ohne Authentifizierung verfügbar ist und direkt auf 233 Tools zugreift, über die KI-Agenten mit Unternehmenssystemen interagieren. Diese Tools umfassen Shell-Zugriff, Datenbankoperationen, Agent-Verwaltung und Speicherfunktionen.
Die Angreifer können über einen einfachen HTTP-Request auf den unauthentifizierten /mcp-Endpoint beliebigen Code ausführen – etwa durch Ruflos terminal_execute-Tool – und damit Befehle im zugrunde liegenden Container ausführen. Die Forscher demonstrierten in ihrem Proof-of-Concept, dass sie innerhalb eines Standard-Ruflo-Deployments auf AWS EC2 LLM-API-Keys aus Umgebungsvariablen stehlen, Konversationen aus MongoDB abrufen und attacker-kontrollierte Agent-Schwärme deployieren konnten.
Besonders kritisch ist das sogenannte Memory Poisoning: Durch das Einschleusen maligner Einträge in Ruflus AgentDB-Pattern-Store können zukünftige KI-Reaktionen mit Angreifer-kontrollierten Instruktionen beeinflusst werden. Diese vergifteten Speichereinträge können nach der ursprünglichen Kompromittierung im vertrauenswürdigen Datenspeicher verbleiben und das Agenten-Verhalten nachhaltig manipulieren.
Branchenfachleute warnen, dass das Problem über Ruflo hinausgeht. Da MCP-Plattformen oft schnell ausgerollt wurden und Authentifizierung gegenüber einfacher Konfigurierbarkeit vernachlässigt haben, entstehen ähnliche Risiken bei anderen Orchestrierungs-Tools. Besonders die Behandlung von persistenten, beschreibbaren Agent-Speichern als Sicherheits-Grenzflächen – wer schreiben darf und wie systemgenerierte Einträge von Angreifer-Einträgen unterschieden werden – ist in wenigen Plattformen gelöst.
Quelle: www.csoonline.com · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.