CVE-2026-48814 in Network-AI: Kritische unauthentifizierte MCP-Tool-Ausführung gefährdet Node.js-Umgebungen

Kurzfassung

In Network-AI wurde eine kritische Schwachstelle identifiziert, die in Version 5.7.1 und älter zu unauthentifizierten Aufrufen von MCP-Tools führen kann. Nach den vorliegenden Informationen konnte der MCP-SSE-Server unter bestimmten Bedingungen ohne wirksame Zugriffskontrolle betrieben werden. Dadurch war es möglich, Funktionen des Systems ohne Anmeldedaten auszulösen.

Für Unternehmen ist das besonders relevant, wenn Network-AI in produktiven Automatisierungs- oder Orchestrierungsumgebungen eingesetzt wird. Solche Plattformen haben oft weitreichende Berechtigungen und können Konfigurationsänderungen, Agentenstarts oder andere sensible Aktionen ausführen. Ein erfolgreicher Missbrauch kann daher über den unmittelbaren Dienst hinaus Auswirkungen auf weitere Systeme haben.

Die Schwachstelle wurde laut Quelle in Version 5.7.2 behoben. Organisationen sollten prüfen, ob betroffene Installationen im Einsatz sind, und umgehend aktualisieren.

Was ist passiert?

Die Schwachstelle betrifft den MCP-SSE-Server von Network-AI. Laut Beschreibung war die Komponente standardmäßig so konfiguriert, dass kein wirksames Geheimnis gesetzt war. In dieser Konstellation wurde die Autorisierung als erfolgreich behandelt, obwohl keine echte Authentifizierung vorlag. Zusätzlich reichte ein Hinweis auf eine nicht-Loopback-Bindung nicht aus, um den unsicheren Standardzustand zu verhindern.

Praktisch bedeutete das: Ein externer oder lokaler nicht-browserbasierter Angreifer konnte auf die MCP-Schnittstelle zugreifen und Tools ausführen, ohne gültige Zugangsdaten vorweisen zu müssen. Genannt werden 22 verfügbare MCP-Tools, darunter Funktionen zum Setzen von Konfigurationen, zum Starten von Agenten und zum Schreiben in das Blackboard sowie Token-bezogene Aktionen.

Die Lücke ist besonders brisant, weil sie nicht nur eine einzelne Funktion betrifft, sondern eine ganze Steuerungsebene des Orchestrators. Damit steigt das Risiko, dass Angreifer nicht nur Daten lesen, sondern aktiv Prozesse manipulieren können.

Technische Details

Nach den Angaben aus der Quelle lag das Problem in einem fehlerhaften Standardverhalten des SSE-basierten MCP-Servers. Der Server startete mit einem leeren Secret. In dieser Situation lieferte die Autorisierungsprüfung weiterhin einen positiven Wert, wodurch die Zugriffskontrolle faktisch ausgehebelt wurde.

Wichtig ist die Abgrenzung zu einer zuvor adressierten CORS-Problematik: Eine frühere Änderung hatte den Cross-Origin-Zugriff für Browser eingeschränkt, indem nur noch localhost-Origins zugelassen wurden. Das aktuelle Problem blieb jedoch bestehen, weil es nicht primär um browserseitige Herkunftsbeschränkungen ging, sondern um die fehlende Authentifizierung selbst. Deshalb konnten auch nicht-browserbasierte Zugriffe wie curl, SSRF-Szenarien oder ein exponierter 0.0.0.0-Bind die Schwachstelle ausnutzen.

Die Einstufung als kritisch ist nachvollziehbar, da der Angriffsvektor einfach ist und die potenzielle Wirkung hoch ausfällt. Bei Orchestrierungsplattformen genügt oft ein einziger unautorisierter Aufruf, um weitreichende Folgeaktionen anzustoßen.

Wer ist betroffen?

Betroffen sind Installationen von Network-AI in Version 5.7.1 und älter. Besonders gefährdet sind Umgebungen, in denen der Dienst netzwerkseitig erreichbar ist oder in denen interne Anwendungen, Skripte oder Automatisierungen auf die MCP-Schnittstelle zugreifen können.

Für deutsche Unternehmen ist das vor allem dann relevant, wenn Network-AI in Entwicklungs-, Test- oder Produktionsumgebungen als Steuerungs- oder Integrationskomponente eingesetzt wird. Auch interne Tools sind nicht automatisch sicher, wenn sie ohne Authentifizierung erreichbar sind. In vielen Fällen wird die Gefahr unterschätzt, weil solche Systeme scheinbar nur intern genutzt werden. Gerade interne Angriffsflächen werden jedoch häufig durch Fehlkonfigurationen, SSRF-Ketten oder kompromittierte Endpunkte ausgenutzt.

Besonders kritisch sind Umgebungen mit hoher Automatisierungstiefe, etwa wenn Agenten Aktionen in Infrastruktur, Datenpipelines oder Konfigurationssystemen ausführen. Dort kann ein Missbrauch schnell zu Betriebsstörungen, ungewollten Konfigurationsänderungen oder einer Ausweitung von Berechtigungen führen.

Empfohlene Maßnahmen

Unternehmen sollten zunächst prüfen, ob Network-AI im Einsatz ist und welche Version betrieben wird. Wenn Version 5.7.1 oder älter vorhanden ist, sollte die Aktualisierung auf 5.7.2 oder eine neuere, vom Hersteller freigegebene Version höchste Priorität haben.

Bis zur Aktualisierung empfiehlt sich eine restriktive Netzsegmentierung. Der MCP-SSE-Server sollte nicht unnötig extern erreichbar sein. Falls möglich, sind Zugriffe auf vertrauenswürdige Hosts oder lokale Schnittstellen zu begrenzen. Zusätzlich sollte überprüft werden, ob der Dienst mit einem leeren oder unsicheren Secret betrieben wird und ob Konfigurationsvorgaben die Authentifizierung tatsächlich erzwingen.

Aus Sicht der Betriebssicherheit sind außerdem folgende Schritte sinnvoll:

Exponierte MCP-Endpunkte identifizieren und inventarisieren
Netzwerkzugriffe auf interne Verwaltungsdienste einschränken
Logs auf ungewöhnliche Tool-Aufrufe und Konfigurationsänderungen prüfen
Automatisierte Prozesse auf unerwartete Agentenstarts oder Token-Aktivitäten überwachen
Notfallplan für die Deaktivierung oder Isolierung betroffener Instanzen bereithalten

Da die Schwachstelle eine Steuerungsebene betrifft, sollten auch nachgelagerte Systeme betrachtet werden. Wenn ein Angreifer über den Orchestrator Aktionen auslösen konnte, müssen mögliche Folgeschäden in verbundenen Diensten mit untersucht werden.

Einschätzung von CyberSecurity-News.de

Die Relevanz dieser Schwachstelle ist für deutsche Unternehmen hoch, wenn Network-AI produktiv eingesetzt wird. Kritisch ist weniger der reine Softwarefehler als die mögliche Kettenwirkung in automatisierten Umgebungen. Orchestrierungsplattformen besitzen oft überdurchschnittliche Rechte und sind damit attraktive Ziele für Angreifer, die nicht nur einen Dienst kompromittieren, sondern operative Abläufe beeinflussen wollen.

Aus unserer Sicht zeigt der Fall auch ein typisches Risiko moderner KI- und Agentenplattformen: Sicherheitsfunktionen dürfen nicht nur teilweise umgesetzt werden. Wenn ein Teilproblem wie CORS behoben wird, aber die eigentliche Authentifizierung standardmäßig offen bleibt, entsteht ein trügerisches Sicherheitsgefühl. Für Betreiber bedeutet das, Konfigurationsstandards, Exponierung und Zugriffskontrollen immer gemeinsam zu bewerten.

Praxisnah ist vor allem die Erkenntnis, dass interne Tools mit Automatisierungsfunktionen dieselbe Sorgfalt benötigen wie klassische Internetdienste. Wer solche Systeme ohne harte Zugriffsbeschränkung betreibt, schafft potenziell einen direkten Pfad zu sensiblen Aktionen im Unternehmensnetz.

Fazit

CVE-2026-48814 ist eine kritische Schwachstelle mit klarer operativer Relevanz. Betroffen sind ältere Versionen von Network-AI, bei denen der MCP-SSE-Server ohne wirksame Authentifizierung betrieben werden konnte. Für Unternehmen kann das zu unautorisierten Tool-Ausführungen, Konfigurationsänderungen und weiteren Folgeschäden führen.

Die wichtigste Maßnahme ist die sofortige Aktualisierung auf die gefixte Version 5.7.2. Ergänzend sollten Betreiber die Erreichbarkeit des Dienstes einschränken, Konfigurationen überprüfen und Logdaten auf verdächtige Aktivitäten auswerten. Wer Automatisierungs- und Orchestrierungsplattformen nutzt, sollte diese Schwachstelle als Anlass nehmen, Zugriffskonzepte und Standardkonfigurationen generell zu überprüfen.