Analyse zu OAuth, CORS und Supply-Chain-Risiken in DevOps Fehlkonfiguriertes MCP SDK von Anthropic gefährdet die Lieferkette

Anbieter zum Thema

Cato Networks (EU) B.V

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Im MCP SDK von Anthropic zeigen Forscher von Cato Networks zwei riskante Defaults: zu offene CORS-Regeln und unzureichend validierte Redirect-URIs. Angreifer können so OAuth-Tokens abgreifen, Build-Pipelines manipulieren und signierte Updates kompromittieren. Abhilfe schaffen restriktive CORS-Policies, strikte Redirect-Allowlists und durchgängig HTTPS.

Der SolarWinds-Angriff im Jahr 2020 hat deutlich gemacht, wie eine einzige Schwachstelle in vertrauenswürdiger Software weltweite Auswirkungen nach sich ziehen kann. Damals wurde die Integrität zahlreicher IT-Systeme durch einen kompromittierten Update-Mechanismus in Mitleidenschaft gezogen. Und die Folgen sind noch immer spürbar. Vor diesem Hintergrund zeigt die aktuelle Untersuchung von Cato CTRL und Cato Application Security ein brisantes Szenario: Im Model Context Protocol (MCP) SDK von Anthropic wurden zwei Sicherheitslücken entdeckt, die ähnliche Supply-Chain-Angriffe ermöglichen könnten.

Die beiden entdeckten Schwachstellen betreffen die Standardkonfiguration des SDKs und ermöglichen im schlimmsten Fall den Diebstahl von Entwickler-OAuth-Tokens sowie die Manipulation automatisierter Build- und Release-Prozesse. Der Kern des Problems liegt in fehlenden Restriktionen bei Cross-Origin-Anfragen (CORS) und bei der Validierung von Redirect-URIs. Diese beiden Konfigurationselemente scheinen auf den ersten Blick unscheinbar, ihre Kombination kann jedoch gravierende Folgen haben.

Datenschutz bei LLMs

ChatGPT, Gemini und Co. unter der Lupe: Welche KI schnüffelt am meisten?

Vom Token-Diebstahl zum weltweiten Angriffspfad

In vielen Unternehmen dient das MCP SDK als interne OAuth-Instanz zur Authentifizierung zwischen Entwicklern, Automatisierungsagenten und Systemen wie GitHub oder Bitbucket. Tokens aus diesem Prozess besitzen meist weitreichende Rechte: vom Zugriff auf Repositories über das Auslösen von Builds bis hin zum Signieren von Binärdateien.

Ein Angreifer könnte diese Lücken ausnutzen, indem er über eine manipulierte Webseite unbemerkt einen eigenen OAuth-Client registriert und sich mithilfe der ungesicherten Umleitungslogik einen gültigen Entwickler-Token verschafft. Der Besucher der Seite bemerkt den Vorgang nicht, da alle OAuth-Schritte im Hintergrund ausgeführt werden. Mit dem gestohlenen Token erhält der Angreifer die Befugnisse des legitimen Entwicklers und kann Quellcode verändern, Build-Skripte manipulieren und Schadsoftware in den automatisierten Signier- und Veröffentlichungsprozess einschleusen.

Es wird besonders kritisch, wenn die so präparierten Artefakte als reguläre Updates an Kunden ausgeliefert werden. Da sie korrekt signiert sind und von etablierten Update-Servern stammen, werden sie von Unternehmenssystemen ohne Alarm auszulösen installiert. So könnte schädlicher Code ungehindert in zahlreiche Kundensysteme gelangen. Der geschilderte Angriffspfad ist folglich dem des SolarWinds-Vorfalls funktional sehr ähnlich.

Strategien für den sicheren KI-Einsatz

Warum Unternehmen KI-Sicherheit jetzt zur Chefsache machen müssen

Keine Zero-Day-Lücke, sondern ein Missbrauch von Vertrauen

Cato betont, dass hier kein klassischer Exploit im Sinne einer fehlerhaften Implementierung vorliegt. Das SDK verhält sich technisch korrekt, doch die Voreinstellungen sind zu großzügig und verwandeln Komfort in ein Sicherheitsrisiko. In modernen Entwicklungsumgebungen, die stark auf Automatisierung, KI-Agenten und SDK-Integrationen setzen, reicht bereits eine unkritisch übernommene Standardkonfiguration aus, um die gesamte Lieferkette zu gefährden.

Schutzmaßnahmen

Entwicklern wird geraten, CORS-Restriktionen explizit zu setzen und Redirect-URIs streng zu validieren – idealerweise sollten nur HTTPS-Schemata und bekannte Hosts zugelassen werden. Diese Anpassungen sind bereits in der offiziellen MCP-Dokumentation von Anthropic beschrieben, werden jedoch in der Standardinstallation nicht erzwungen. Cato empfiehlt darüber hinaus den Einsatz von GenAI-Sicherheitskontrollen innerhalb der eigenen Netzwerk- und SASE-Plattform. Damit lassen sich Zugriffe auf MCP-Funktionen überwachen, verdächtige Aktivitäten blockieren und detaillierte Audit-Logs erstellen.

Die zentrale Erkenntnis dieser Analyse ist eindeutig: In einer Zeit komplexer werdender Softwarelieferketten, darf Sicherheit nicht als selbstverständlich angenommen werden. Jede Schnittstelle, jedes Authentifizierungsverfahren und jede Standardoption muss aktiv geprüft und gehärtet werden, ansonsten drohen weitreichende Sicherheitsrisiken.

Über den Autor: Dr. Guy Waizel ist Tech Evangelist bei Cato Networks und Mitglied von Cato CTRL.

Umgang mit neuen Security-Herausforderungen durch KI

So schützen Sie Ihre KI vor Prompt-Injection & Co.

(ID:50632844)