RufRoot: die kritische Schwachstelle (CVSS 10.0) in Ruflo, die eine Remote-Shell ohne Authentifizierung öffnet

Einleitung

Am 30. Juni 2026 haben Forscher von Noma Labs (Noma Security) eine schwerwiegende Sicherheitslücke im Open-Source-Projekt Ruflo öffentlich gemacht, einer Multi-Agent-Orchestrierungsplattform, die unter KI-Entwicklern weit verbreitet ist (über 66.500 Sterne auf GitHub). Die als RufRoot bezeichnete und als CVE-2026-59726 verfolgte Schwachstelle erhielt einen CVSS-Score von 10.0 – der maximal mögliche Wert – da sie die nicht authentifizierte Ausführung beliebiger Befehle aus der Ferne auf jeder erreichbaren Instanz erlaubt. Der Maintainer veröffentlichte innerhalb von weniger als 24 Stunden einen Korrektur-Patch, aber alle Installationen mit einer Version vor 3.16.3 bleiben dem Risiko einer vollständigen Kompromittierung ausgesetzt.

Technische Analyse

Der Kern des Problems liegt in der Standardkonfiguration der MCP-Bridge (Model Context Protocol), die mit den Docker-Compose-Dateien von Ruflo bereitgestellt wird. Das offizielle Image setzte den Port 3001/tcp auf allen Netzwerkschnittstellen (0.0.0.0) frei, ohne jeglichen Authentifizierungsmechanismus zu aktivieren. Die MCP-Bridge dient als Verbindungspunkt für den Aufruf der Agentenwerkzeuge: In Ruflo stehen ganze 233 Werkzeuge zur Verfügung, darunter terminal_execute, das die direkte Ausführung von Shell-Befehlen im Container ermöglicht.

Ein Angreifer kann die Schwachstelle ausnutzen, indem er einfach eine nicht authentifizierte HTTP-POST-Anfrage an den Endpunkt der Bridge sendet. Die Payload ermöglicht es, beliebige Befehle im Container-Kontext auszuführen und sich damit faktisch eine interaktive Shell zu verschaffen. Da Container oft mit erhöhten Rechten oder mit Zugriff auf den Host betrieben werden, kann sich die Kompromittierung schnell auf die zugrunde liegende Infrastruktur ausweiten. Der Patch (Version 3.16.3) behebt das Problem auf mehreren Ebenen: Er bindet die MCP-Bridge an die Loopback-Schnittstelle (127.0.0.1), führt serverseitige Prüfungen für das Werkzeug terminal_execute ein und aktiviert die Authentifizierung für MongoDB.

Auswirkungen

Die Konsequenzen für eine verwundbare Instanz sind verheerend und betreffen viele Aspekte:

• Beliebige Befehlsausführung (RCE) – Eine einzige HTTP-Anfrage erlaubt es, die volle Kontrolle über den Container und in vielen Szenarien auch über den Host-Knoten zu übernehmen.
• Diebstahl von Zugangsdaten – Die API-Schlüssel der LLM-Anbieter (Anthropic, OpenAI usw.) sind vom Inneren des Containers aus lesbar und werden dadurch vollständig offengelegt.
• Vergiftung des KI-Gedächtnisses – Ein Angreifer kann bösartige Muster in die AgentDB, die persistente Lerndatenbank von Ruflo, einspeisen und so auf raffinierte Weise die von der KI generierten Antworten für alle zukünftigen Nutzer verändern.
• Datenabfluss – Unterhaltungen, Dokumente und sämtliche auf der Plattform gespeicherten Inhalte werden zugänglich.
• Persistenz und Backdoor – Es ist möglich, bösartige Payloads im Verzeichnis /app abzulegen, vom Angreifer kontrollierte Agentenschwärme zu erstellen und auch nach einem Neustart dauerhaften Zugriff zu behalten.

Gegenmaßnahmen

Um die Umgebung abzusichern, muss auf mehreren Ebenen vorgegangen werden:

1. Ruflo sofort auf Version 3.16.3 oder höher aktualisieren, in der die MCP-Bridge lokal gebunden ist und die Befehlsausführung einer Prüfung unterzogen wird.
2. Netzwerkseitig die Ports 3001 und 27017 (MongoDB) mittels Firewall oder Sicherheitsgruppen blockieren, um den direkten Zugriff von außen zu verhindern.
3. Sämtliche API-Schlüssel der LLM-Anbieter erneuern, die in der Konfiguration verwendet werden, da sie als kompromittiert gelten müssen.
4. AgentDB-Audit durchführen, um verdächtige Einträge im Pattern Store zu identifizieren und etwaige Einspeisungen zu entfernen.
5. MongoDB inspizieren, um die Integrität der Collections zu überprüfen und unautorisierte Änderungen festzustellen.
6. Container auf Basis eines sauberen Images neu aufbauen, um alle persistenten Änderungen zu beseitigen, die ein potenzieller Angreifer hinterlassen haben könnte.

FAQ

1. Was ist Ruflo und warum ist es so verbreitet?
Ruflo (ursprünglich Claude Flow) ist eine Open-Source-Plattform für die Orchestrierung von KI-Agenten, die komplexe Arbeitsabläufe vereinfachen soll, die Modelle wie Claude Code und OpenAI Codex integrieren. Mit über 66.500 Sternen auf GitHub ist es zu einem Referenzwerkzeug für Entwickler und Unternehmen geworden, die Aufgaben mittels LLMs sowohl in Test- als auch in Produktionsumgebungen automatisieren möchten.

2. Wie kann ich feststellen, ob meine Instanz angreifbar ist?
Wenn Sie eine Ruflo-Version vor 3.16.3 betreiben und der Port 3001 im öffentlichen oder in einem nicht vertrauenswürdigen Netzwerk erreichbar ist, ist die Instanz verwundbar. Ein praktisches Anzeichen ist, dass die MCP-Bridge auf HTTP-Anfragen ohne Authentifizierungstoken antwortet. Aus Vorsichtsgründen wird jedoch dringend empfohlen, zu aktualisieren und die Gegenmaßnahmen umzusetzen, ohne auf invasive Überprüfungen zu warten.

3. Welche Schritte sind neben dem Update wirklich dringend?
Nach dem Upgrade sollten Sie sofort alle API-Schlüssel der LLM-Anbieter erneuern, da sie als kompromittiert gelten müssen. Blockieren Sie den Netzzugriff auf die Ports 3001 und 27017 und inspizieren Sie die AgentDB, um fremde Befehle oder Muster zu identifizieren. Bauen Sie abschließend die Container aus einem sauberen offiziellen Image neu auf und überprüfen Sie MongoDB, um sicherzustellen, dass keine bösartigen Änderungen vorgenommen wurden.