hyper-mcp: Umgehung der Signaturprüfung durch TOCTOU-Race-Condition beim OCI-Plugin-Laden

Zusammenfassung

hyper-mcp bis Version 0.8.3 prüft die Cosign-Signatur eines separat aufgelösten Tags statt des tatsächlich geladenen Manifests. Ein Angreifer, der die Registry-Antworten für ein Plugin-Tag kontrolliert, kann dem Loader ein unsigniertes, schädliches Manifest liefern, während Cosign ein signiertes sieht. So lassen sich unsignierte WebAssembly-Plugins mit den konfigurierten Host-Berechtigungen, etwa Netzwerkzugriff, ausführen.

Betroffen

• hyper-mcp Versionen 0.8.3 und älter (VulnCheck: betroffen 0 bis <= 0.8.3)

Behoben in

• Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden. Vor einer Entscheidung auf die Release-Seite des Herstellers und Sicherheitshinweise prüfen.

Umgehung

• Signaturprüfung nicht deaktivieren; sicherstellen, dass insecure_skip_signature nicht gesetzt ist und HYPER_MCP_INSECURE_SKIP_SIGNATURE auf keinem Host gesetzt ist.
• Plugins nur aus selbst kontrollierten Registries und Namensräumen laden (abgeleitet aus den Voraussetzungen, keine Herstellerempfehlung).
• Plugins statt über veränderliche Tags über unveränderliche Digests fixieren, nachdem geprüft wurde, ob hyper-mcp digestbasiertes Laden erzwingt.
• Schreibzugriff auf die Plugin-Registry einschränken und die erreichbaren Hosts des Servers begrenzen.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog gelistet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell.
• Status eines öffentlichen Proof of Concept ist unklar.

Unsere Empfehlung

• Prüfen, ob hyper-mcp eingesetzt wird und welche Version läuft; Version 0.8.3 und älter als betroffen behandeln.
• Sicherstellen, dass die Signaturprüfung auf allen Hosts aktiv ist.
• Plugin-Quellen auf vertrauenswürdige Registries beschränken und Plugins wenn möglich per Digest fixieren.
• Netzwerkexposition des Servers begrenzen, insbesondere bei SSE- oder HTTP-Transport, und das Laden von Plugins überwachen.
• CVE-2026-108699 separat prüfen, da das Patchen dieser Lücke sie nicht behebt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-108698 osv.dev
• hyper-mcp upstream repository github.com
• hyper-mcp oci.rs at v0.8.3 (load_wasm) github.com
• hyper-mcp v0.8.3 release github.com
• PSIRT CVE-2026-108698 psirt.com
• Strix CVE-2026-108698 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:56.