Mooncake Store: Fehlende Authentifizierung ermöglicht unauthentifizierte Objektlöschung
Zusammenfassung
Mooncake Store Master bis 0.3.13.post1 verlangt auf seinem coro_rpc-Port keine Authentifizierung. Ein nicht authentifizierter Angreifer kann gefälschte Anfragen für Remove, RemoveByRegex, RemoveAll oder BatchRemove senden, mit gesetztem force-Flag Lease-Prüfungen umgehen und beliebige Objekte, alle per Regex passenden Schlüssel oder den gesamten Store löschen. Die Folgen sind Cache-Verlust und fehlgeschlagene Anfragen; der CVSS-4.0-Basiswert beträgt 8.8, und ist der Port erreichbar, sind keine Berechtigungen und keine Benutzerinteraktion nötig.
Betroffen
- kvcache-ai Mooncake Store (mooncake-store master) 0 bis 0.3.13.post1, laut CVE-Eintrag und Meldung
- Letzter betroffener Commit laut OSV: 719735896c86b56fabec6cf3e825fb2ea640597a
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde weder ein gepatchtes Release noch eine Sicherheitswarnung des Herstellers gefunden.
Umgehung
- Kein vom Hersteller bestätigter Workaround bekannt.
- Den Master-RPC-Port (Standard 0.0.0.0:50051) nicht über den vertrauenswürdigen Cluster hinaus exponieren.
- Den Port mit Host-Firewall-Regeln oder Netzwerk-ACLs auf bekannte Mooncake-Clients beschränken.
- Den Dienst nicht in öffentlichen oder geteilten Netzen betreiben.
Ausnutzung
- Ausnutzung in der Praxis: nichts bekannt; nicht im CISA-KEV-Katalog aufgeführt.
- Die CISA-SSVC-Bewertung führt die Ausnutzung als 'poc' und die Schwachstelle als automatisierbar.
- Ein separates öffentliches Proof of Concept wurde bei der Recherche nicht bestätigt.
- Der EPSS-Wert liegt bei etwa 0,005 und ist damit niedrig.
Unsere Empfehlung
- Prüfen, ob Mooncake Store im Einsatz ist. Falls nicht, ist keine Massnahme nötig.
- Bei Einsatz prüfen, ob der Master-RPC-Port aus nicht vertrauenswürdigen Netzen erreichbar ist, und diese Exposition zuerst schliessen.
- Die oben genannten Workarounds umsetzen und auf unerwartete Remove- oder Clear-Aufrufe überwachen.
- Das Upstream-Repository beobachten und sofort auf ein bestätigtes Release aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mooncake GitHub repository github.com
- Upstream issue #4474 github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-106038 osv.dev
- Vulners CVE record CVE-2026-106038 vulners.com
- VulDB entry 414294 vuldb.com
- Upstream pull request #4484 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:21.
Referenzen der NVD (4)
- https://github.com/kvcache-ai/Mooncake
- https://github.com/kvcache-ai/Mooncake/blob/719735896c86b56fabec6cf3e825fb2ea640597a/mooncake-store/src/maste…
- https://github.com/kvcache-ai/Mooncake/issues/4474
- https://www.vulncheck.com/advisories/mooncake-store-through-0.3.13-post1-unauthenticated-object-deletion-via-…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.