Auf den Punkt: HashiCorp, Veeam und Django haben 11 Schwachstellen gepatcht, darunter einen Cross-Tenant-Fehler im Terraform MCP Server mit CVSS 10.0 und eine ungeauthentifizierte Credential-Lücke in Veeam mit CVSS 9.5.
HashiCorp, Veeam und die Django Software Foundation haben insgesamt 11 Sicherheitslücken in Terraform MCP Server, Veeam Service Provider Console und Django behoben. Die schwerwiegendste Lücke betrifft einen Cross-Tenant-Fehler mit einem CVSS-Wert von 10.0.
Drei Schwachstellen stechen im aktuellen Patch-Zyklus besonders hervor. In HashiCorps Terraform MCP Server erlaubt ein Cross-Tenant-Fehler mit der Höchstbewertung CVSS 10.0, dass das Terraform-Token eines Nutzers von nachfolgenden Nutzern wiederverwendet werden kann. Betroffen sind demnach Umgebungen, in denen mehrere Mandanten denselben MCP-Server nutzen. In Veeams Service Provider Console ermöglicht eine ungeauthentifizierte Schwachstelle (CVSS 9.5) den Zugriff auf die Zugangsdaten eines verwalteten Agenten, ohne dass sich ein Angreifer zuvor anmelden muss. Zu Django selbst liegen laut Originalmeldung keine weiteren Detailangaben zu den einzelnen der insgesamt 11 gepatchten Schwachstellen vor.
Für CISOs ergibt sich aus der Kombination von Cross-Tenant-Isolationsfehler und ungeauthentifiziertem Credential-Leak ein unmittelbarer Handlungsbedarf. Der Terraform-MCP-Fehler betrifft insbesondere Organisationen, die Infrastructure-as-Code-Workflows über gemeinsam genutzte Server-Instanzen mit mehreren Mandanten oder Teams betreiben – hier drohen im schlimmsten Fall unautorisierte Infrastrukturänderungen durch Token-Missbrauch. Die Veeam-Lücke ist relevant für Managed-Service-Provider-Umgebungen, in denen Backup-Infrastruktur zentral über die Service Provider Console verwaltet wird; ein Angreifer könnte über die offengelegten Agenten-Zugangsdaten weitreichenden Zugriff auf Backup-Systeme von Kunden erlangen.
Betreiber der genannten Produkte sollten die verfügbaren Patches priorisiert einspielen, insbesondere in Umgebungen mit Multi-Tenant-Nutzung des Terraform MCP Servers sowie in MSP-Szenarien mit Veeam Service Provider Console. Da die Originalmeldung keine konkreten CVE-Nummern oder Versionsangaben nennt, empfiehlt sich der Abgleich mit den offiziellen Security-Advisories von HashiCorp, Veeam und der Django Software Foundation, um betroffene Versionen und verfügbare Fix-Releases zu identifizieren.
Quelle: thehackernews.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.