oraios Serena: Symlink-Verfolgung erlaubt Zugriff ausserhalb des Projektverzeichnisses

Zusammenfassung

Serena, ein MCP-Toolkit, das KI-Coding-Agenten Datei- und Code-Werkzeuge bereitstellt, löst symbolische Links beim Prüfen, ob eine Datei innerhalb des Projekts liegt, nicht auf. Ein bösartiges Repository mit Symlinks kann dazu führen, dass die Dateiwerkzeuge Dateien ausserhalb des Projekts lesen oder überschreiben, etwa SSH-Schlüssel oder Cloud-Zugangsdaten. Der Angriff setzt voraus, dass ein Benutzer das bösartige Repository mit Serena öffnet, und der CVSS-Vektor geht von einer Benutzerinteraktion aus.

Betroffen

• Serena-Versionen vor 2.0.0 (PyPI-Paket serena-agent)

Behoben in

• Serena 2.0.0 (veröffentlicht am 13.10.2026)

Umgehung

• Behandeln Sie geklonte oder fremde Repositories bis zum Patch als nicht vertrauenswürdig.
• Beschränken Sie, welche Dateien der Agenten-Prozess lesen kann, und halten Sie SSH-Schlüssel und Cloud-Zugangsdaten ausserhalb seiner Reichweite.
• Prüfen Sie, wie trusted_project_path_patterns in Ihren Installationen gesetzt ist, da der Fix von der Projektvertrauenseinstellung abhängt.

Ausnutzung

• Nicht als ausgenutzt bekannt. CISA SSVC stuft die Ausnutzung als 'poc' und die Automatisierbarkeit als 'no' ein.
• Der Mechanismus ist im ursprünglichen Issue öffentlich beschrieben. Es wurde kein öffentlicher Exploit-Code gefunden.
• Die Quellen widersprechen sich zur Verfügbarkeit eines Exploits, daher ist dies nicht verifiziert.

Unsere Empfehlung

• Aktualisieren Sie Serena auf Version 2.0.0 oder neuer.
• Öffnen Sie bis dahin keine nicht vertrauenswürdigen Repositories mit Serena oder dessen KI-Agenten.
• Prüfen Sie SSH-Schlüssel und Cloud-Zugangsdaten, die von betroffenen Systemen erreichbar sein könnten, und rotieren Sie diese bei Verdacht auf Offenlegung.
• Prüfen Sie die Release-Notes der 2.0.x-Reihe zum Folgeproblem bei der Symbolsuche (#2163) und dessen Fix-Status.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Serena project repository github.com
• Serena v2.0.0 release github.com
• Serena changelog github.com
• Fix commit 6f20f9b github.com
• Serena issue 2144 (original report) github.com
• project.py at v1.7.0 (vulnerable code) github.com
• VulnCheck advisory www.vulncheck.com
• Serena issue 2163 (follow-up regression) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:33.