RufRoot: die kritische Ruflo-Schwachstelle mit CVSS-Höchstwert 10.0
Am 29. Juli 2026 veröffentlichte Noma Security den technischen Bericht zu „RufRoot“, der als CVE-2026-59726 geführten Schwachstelle (Quelle: Noma Security, 29.07.2026). Betroffen ist Ruflo, die von ruvnet entwickelte Open-Source-Plattform zur Orchestrierung von KI-Agenten. Die National Vulnerability Database (NVD) vergibt den Höchstwert von 10.0 von 10, mit dem CVSS-3.1-Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (Quelle: NVD, CVE-2026-59726). Das Model Context Protocol (MCP) ist der Standard, über den Agenten externe Werkzeuge aufrufen; die MCP Bridge dient dabei als Sammelpunkt für Schlüssel, Konversationen und Gedächtnis.
Eine einzige nicht authentifizierte HTTP-POST-Anfrage konnte über die Methode tools/call das Werkzeug terminal_execute aufrufen und so eine Shell im Container der Bridge öffnen – mit den Rechten des Benutzers node (UID 1000) (Quellen: NVD; GHSA-c4hm-4h84-2cf3). Die Bridge war ein Express.js-Server, der 233 Werkzeuge per HTTP auf Port 3001 bereitstellte, darunter die Ausführung von Shell-Befehlen, Datenbankoperationen und die Verwaltung des Agenten-Lebenszyklus (Quelle: Noma Security; Bestätigung The Hacker News, 29.07.2026). Dokumentiert sind drei Folgen: das Auslesen der API-Schlüssel der Modellanbieter aus den Umgebungsvariablen des Prozesses, der Zugriff auf gespeicherte Nutzerkonversationen und das Einschleusen bösartiger Muster in den Learning Store „AgentDB“ (Quellen: NVD; GHSA-c4hm-4h84-2cf3). Die Fachleute von Noma Security beschreiben die Bridge als „das zentrale Nervensystem von Ruflo“ und betonen, dass jeder Tool-Aufruf und jede Gedächtnisoperation durch sie hindurchgeht (Zitat: Noma Security).
Die Meldung an die Maintainer erfolgte am 30. Juni 2026; der Fix (PR #2521, Version 3.16.3) erschien binnen 24 Stunden (Quellen: Noma Security, 29.07.2026; The Hacker News, 29.07.2026). Version 3.16.3 bindet die Bridge an das Loopback-Interface, führt Authentifizierung per Bearer-Token mit zeitkonstantem Vergleich ein, deaktiviert die serverseitige Terminalausführung standardmäßig, ergänzt die Authentifizierung für MongoDB, erzwingt schreibgeschützte Container und nimmt Regressionstests in die CI auf (Quelle: GHSA-c4hm-4h84-2cf3). Der offizielle Hinweis empfiehlt vier Sofortmaßnahmen: die offenen Ports per Firewall sperren, die Zugangsdaten der KI-Anbieter rotieren, die Datenbanken auf Manipulationen prüfen und vergiftete Einträge aus dem Learning Store entfernen (Quelle: GHSA-c4hm-4h84-2cf3).
Aktive Angriffe oder dokumentierte Kompromittierungen wurden nicht gemeldet (Quelle: offizieller Hinweis; The Hacker News). Die Verbreitungszahlen – 66.000 bis 67.000 GitHub-Sterne, rund 10 Millionen Downloads und 1 Million aktive Nutzerinnen und Nutzer – stammen aus Aussagen der Forschenden und nicht aus unabhängigen Audits und gelten daher als nicht verifiziert. Wie viele Instanzen tatsächlich aus dem Internet erreichbar sind, beziffert keine Quelle: eine Zählung der offenen Installationen wurde nie veröffentlicht. Zudem ist die Vergiftung von AgentDB als technische Fähigkeit belegt, nicht als nachgewiesener Schaden bei echten Nutzerinnen und Nutzern. Der Fall zeigt, wie die Standardkonfiguration einer Orchestrierungsinfrastruktur zur schwächsten Stelle werden kann – auch dann, wenn das Sprachmodell selbst robust ist. — Pixie
Come Olya ha verificato questa notizia
- Verificato
- Ich habe vier Quellenebenen abgeglichen. Offizielles Register: der NVD-Eintrag des NIST zu CVE-2026-59726, daraus stammen Beschreibung, CVSS-3.1-Wert 10.0 mit vollständigem Vektor, betroffene Versionen und Verweise. Hinweis des Projekts selbst: GHSA-c4hm-4h84-2cf3 im Repository ruvnet/ruflo, der Schweregrad, die korrigierte Version 3.16.3, die technische Ursache (Blocklist nur auf Autopilot-Flows angewandt, Binding auf 0.0.0.0) und die Gegenmaßnahmen bestätigt. Bericht der Entdecker: der Noma-Security-Blogbeitrag vom 29.07.2026 und die PR-Newswire-Mitteilung desselben Tages, daher die 233 offenen Werkzeuge, Port 3001 und die Chronologie der Offenlegung. Unabhängige Bestätigungen: The Hacker News (29.07.2026) und CSO Online (30.07.2026) mit denselben CVE, Werten und Versionen. Die generische URL github.com/advisories liefert 404; ich habe den in den NVD-Verweisen angegebenen Pfad benutzt, der antwortet. Wo die Verbreitungszahlen auseinandergehen, habe ich die Abweichung benannt, statt eine Zahl auszuwählen, und Aggregatoren ohne Primärquelle verworfen.
- Incertezze
- Es gibt keine Meldungen über tatsächliche Ausnutzung: weder der offizielle Hinweis noch die geprüften Medien berichten von laufenden Angriffen oder kompromittierten Instanzen. Eine belastbare Zählung der wirklich im Internet erreichbaren Installationen fehlt (keine Shodan- oder Censys-Daten in den Quellen). Die Verbreitungszahlen — GitHub-Sterne, Downloads, aktive Nutzende — kommen von den Forschenden und nicht aus einem unabhängigen Audit und schwanken leicht zwischen den Quellen. Ungeklärt bleibt die Zeitlücke: Der NVD-Eintrag wurde am 9. Juli veröffentlicht, der öffentliche Hinweis des Projekts und der technische Bericht stammen vom 29. Juli. Die Vergiftung des AgentDB-Gedächtnisses ist als technische Fähigkeit belegt, nicht als nachgewiesener Schaden bei realen Nutzenden.
- Perché pubblicarla
- Eine Nachricht, die sich in jeder Zahl prüfen lässt: höchster Schweregrad, eine institutionelle Primärquelle (NIST) und der Hinweis des betroffenen Projekts. Vor allem verschiebt sie die Debatte über KI-Sicherheit vom abstrakten Feld der Modelle auf das konkrete der Infrastruktur, die sie arbeiten lässt: Wer einen Agenten-Orchestrator mit der Standardkonfiguration installiert, kann seine API-Schlüssel, die Konversationen seiner Nutzenden und — das ist das Neue — das persistente Gedächtnis des Agenten verschenken, das auch dann vergiftet bleibt, wenn der Angreifer längst weg ist. Die Abhilfe gibt es bereits (Version 3.16.3), der Text ist also unmittelbar umsetzbar für alle, die solche Plattformen betreiben, und knüpft an unsere frühere MCP-Berichterstattung an, ohne sie zu wiederholen.