hyper-mcp: Unzureichende Signaturprüfung von WebAssembly-Plugins

Zusammenfassung

hyper-mcp bis Version 0.8.3 prüft die Signatur-Identität des Signierers und den OIDC-Aussteller von OCI-WebAssembly-Plugins standardmässig nicht ausreichend. Ein Angreifer, der eine Plugin-Image-Referenz kontrolliert, kann ein bösartiges Image mit einem kostenlosen Sigstore-Keyless-Zertifikat signieren, und hyper-mcp lädt es. Das bösartige Plugin läuft anschliessend mit den konfigurierten Host-, Dateisystem- und Umgebungsrechten.

Betroffen

• hyper-mcp bis einschliesslich 0.8.3 (CVE-Eintrag: Versionen 0 bis 0.8.3 standardmässig betroffen)
• Betroffene Konfigurationen: OCI-Plugins, die ohne explizite Einschränkung von Signierer-Identität und Aussteller geladen werden

Behoben in

Unbekannt. Der Hersteller hat in den geprüften Quellen keine korrigierte Version bestätigt. Eine nicht verifizierte Drittquelle nennt 0.8.4 oder neuer.

Umgehung

• hyper-mcp so konfigurieren, dass für OCI-Plugins bestimmte Signierer-Identitäten und vertrauenswürdige OIDC-Aussteller verlangt werden
• insecure_skip_signature: true bzw. HYPER_MCP_INSECURE_SKIP_SIGNATURE=true nicht setzen
• Plugins nur aus selbst kontrollierten Registries und Namespaces laden und Plugin-Referenzen auf einen Digest fixieren
• hyper-mcp im SSE- oder Streamable-HTTP-Modus nicht in nicht vertrauenswürdigen Netzwerken betreiben

Ausnutzung

• CISA SSVC: Exploitation-Status PoC, automatisierbar: nein, technische Auswirkung: teilweise
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• Es existiert ein Write-up, das möglicherweise Exploit-Details enthält; nicht verifiziert

Unsere Empfehlung

• Alle hyper-mcp-Installationen und Versionen inventarisieren, einschliesslich Homebrew und Container-Images
• Die erforderlichen Einschränkungen für Signierer und Aussteller jetzt anwenden und prüfen, dass das Überspringen der Signaturprüfung deaktiviert ist
• Die Berechtigungen jedes Plugins (Host, Dateisystem, Umgebung) überprüfen
• Die Release-Seite des Herstellers und die GitHub Security Advisories beobachten und sofort aktualisieren, sobald eine Korrektur bestätigt ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-108699 on VulDB vuldb.com
• hyper-mcp on GitHub github.com
• VulnCheck advisory www.vulncheck.com
• hyper-mcp config.rs at v0.8.3 github.com
• hackMD write-up CVE-2026-108698/108699 hackmd.io
• Strix CVE-2026-108699 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:57.