Google OSS Agent Mesh (SAM): Fehlende Authentifizierung im /libp2p-http-Ingress

Zusammenfassung

Google OSS Agent Mesh (SAM) in den Versionen 0.1.0-alpha.1 bis 0.1.0-alpha.2 enthält fehlende Authentifizierungs- und Autorisierungsprüfungen im /libp2p-http-Ingress-Server von sam-node. Ein nicht authentifizierter entfernter libp2p-Peer kann die Biscuit-Richtlinienprüfung umgehen und beliebige registrierte Backend-Dienste aufrufen, einschliesslich befehlsbasierter MCP-Server, A2A-Dienste und Inferenz-Endpunkte. Der Angriff erfordert lediglich, dass der Ingress eine Verbindung vom Peer des Angreifers akzeptiert; Zugangsdaten sind nicht nötig.

Betroffen

• Google SAM 0.1.0-alpha.1 bis 0.1.0-alpha.2
• Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)
• Versionen nach 0.1.0-alpha.2 sind gemäss CNA-Bereich nicht betroffen; spätere Modulversionen wurden nicht im Detail geprüft.

Behoben in

• Behoben in 0.1.0-alpha.3 (Commit 433bc99d, "Fix security gap in HTTP Datapath ingress and proxy token leak").
• Das Modul wurde nach v0.1.0-rc.9 in github.com/google/agentmesh umbenannt; die behobene Version ist auf der Release-Seite des Herstellers zu prüfen.

Umgehung

• Unbekannt. Es wurde kein Workaround des Herstellers identifiziert.
• Interimsmassnahme (nicht vom Hersteller): Den libp2p-Peers, die den Node erreichen können, Einschränkungen auferlegen und den Ingress-Port nicht dem Internet oder nicht vertrauenswürdigen Peers aussetzen.

Ausnutzung

• CISA SSVC: Ausnutzung Stufe poc, automatisierbar ja, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; nicht als aktiv ausgenutzt bekannt (KEV nicht direkt geprüft).
• VulDB meldet keinen öffentlichen Exploit; ein Referenz-Tag erwähnt "exploit" und sollte im Advisory geprüft werden.

Unsere Empfehlung

• Alle SAM-Installationen identifizieren und Lockfiles, Container-Images und Binaries auf die Versionen 0.1.0-alpha.1 und 0.1.0-alpha.2 prüfen.
• Auf 0.1.0-alpha.3 oder neuer aktualisieren, vorzugsweise auf die neueste Version nach Prüfung der Release-Seite des Herstellers.
• Zugriff über libp2p-Peers einschränken und den Ingress-Port vom Internet fernhalten.
• Logs auf unerwarteten Ingress-Verkehr prüfen und Geheimnisse und Token rotieren, auf die MCP-Backends oder Inferenz-Endpunkte zugreifen können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub commit 433bc99d (fix) github.com
• GitHub release v0.1.0-alpha.3 github.com
• GitHub Security Advisory GHSA-r6hp-67wp-c7jx github.com
• Mirror advisory GHSA-r6hp-67wp-c7jx (agentmesh) github.com
• VulDB entry 422240 vuldb.com
• Go module sam v0.1.0-alpha.3 pkg.go.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:17.