Loom for AWS: Server-side Request Forgery und Token-Offenlegung in OAuth2-Discovery

Zusammenfassung

Loom for AWS, eine Open-Source-Plattform zur Orchestrierung von KI-Agenten, enthält eine Server-side Request Forgery (SSRF) in der OAuth2-Discovery-Verarbeitung. Ein authentifizierter Benutzer mit dem Scope mcp:write oder a2a:write kann eine präparierte Discovery-URL angeben, durch die das Backend OAuth2-Client-Secrets oder das Access-Token eines anderen Benutzers an einen von Dritten kontrollierten Endpunkt sendet. Über dieselbe Schwachstelle kann die Anwendung zudem Anfragen an beliebige interne Netzwerkadressen senden und die Antworten lesen. Der CVE-Eintrag bewertet den CVSS-4.0-Basiswert mit 8.2 (High); der Hersteller weist darauf hin, dass das Release 1.6.1 die Token-Offenlegung nicht vollständig behoben hat.

Betroffen

• Loom for AWS Versionen vor 1.7.0 (AWS-Bulletin 2026-124-AWS)

Behoben in

• Loom for AWS 1.7.0 (Fix-Commit 771cb3b5f5d8309fdd0165d0686e71be028ae0cd)
• Version 1.6.1 blockiert interne Adresszugriffe für diesen Codepfad, ist aber keine vollständige Behebung.

Umgehung

• Den Scope mcp:write und a2a:write auf vertrauenswürdige Administratoren beschränken (zum Beispiel die Gruppen g-admins-super, g-admins-mcp, g-admins-a2a und g-admins-demo). Dies verringert die Wahrscheinlichkeit, schliesst die Schwachstelle aber ohne den Code-Fix nicht vollständig.

Ausnutzung

• Keine bekannte Ausnutzung. CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact partial.
• Zum Zeitpunkt der Recherche ist kein öffentlicher Exploit-Code bestätigt.

Unsere Empfehlung

• Loom for AWS auf Version 1.7.0 oder neuer aktualisieren, einschliesslich aller Forks und abgeleiteten Code-Versionen.
• Bis zur Aktualisierung den Scope mcp:write und a2a:write auf vertrauenswürdige Administratoren beschränken.
• Nach der Aktualisierung OAuth2-Client-Secrets für MCP- und A2A-Integrationen rotieren sowie aktive Access-Tokens widerrufen und neu ausstellen.
• Falls Zugriff auf Container-Rollen-Zugangsdaten möglich war, die Session-Credentials der IAM-Rolle rotieren und CloudTrail auf unerwartete Nutzung prüfen.
• Auch CVE-2026-103956 (Authentication Bypass, behoben in 1.6.1) prüfen, da diese Schwachstelle kritischer ist und in derselben Umgebung vorkommt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• AWS Security Bulletin 2026-124-AWS aws.amazon.com
• Loom v1.7.0 release github.com
• GitHub Security Advisory GHSA-jcxf-gpf4-58hm github.com
• OSV entry CVE-2026-103957 osv.dev
• OpenCVE CVE-2026-103957 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:08.