Mage OSS: Authentifizierungsumgehung über unbekannten OAuth-Provider bei Sitzungserstellung

Zusammenfassung

Mage OSS bis einschliesslich 0.9.80 erstellt weiterhin Sitzungen, wenn ein unbekannter OAuth-Provider angefragt wird. Die im Request übermittelte E-Mail-Adresse wird danach ohne Token-Prüfung für die Benutzersuche, die Kontoerstellung und die Ausstellung der Sitzung verwendet. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann sich dadurch als bestehende Benutzer anmelden oder neue Konten anlegen und auf Funktionen wie Versionsverwaltungsbefehle, den Dateiexplorer und das integrierte Terminal zugreifen. Für den Angriff genügt Netzwerkzugriff auf den Mage-Dienst; der CVSS-Basiswert beträgt 9.8 (kritisch).

Betroffen

• Mage OSS (mage-ai) 0 bis 0.9.80
• Alle Builds vor Commit 76c4f46

Behoben in

• Commit 76c4f46 (PR #6204, am 16. Oktober 2026 zusammengeführt) weist nicht verifizierte OAuth-Identitäten zurück
• Veröffentlichte Version: Unbekannt. PyPI 0.9.80 ist älter als der Fix; prüfen Sie die Mage-Releases auf eine neuere Version, die 76c4f46 enthält.

Umgehung

• Mage nicht direkt dem Internet aussetzen; den Zugriff auf den Dienstport (standardmässig 6789) auf vertrauenswürdige Netzwerke beschränken
• Mage hinter einem VPN oder einem authentifizierenden Reverse Proxy betreiben
• Anfragen an POST /api/sessions auf unbekannte OAuth-Provider-Werte und unerwartete Kontoerstellungen überwachen

Ausnutzung

• Ein öffentliches Proof-of-Concept-Repository existiert (murrez/CVE-2026-111823), Exploit-Code ist also verfügbar.
• Laut CISA SSVC ist die Ausnutzung auf none gesetzt, die Automatisierbarkeit auf yes.
• Eine Ausnutzung in freier Wildbahn ist nicht bestätigt; in den Quellen wurde kein Eintrag im CISA-KEV-Katalog gefunden.
• Die Quellen widersprechen sich bei den Voraussetzungen: Einige nennen eine aktivierte Benutzerauthentifizierung als Bedingung, VulDB sagt, dass keine Authentifizierung nötig ist.

Unsere Empfehlung

• Alle Mage-OSS-Instanzen mit ihren Versionen oder Commit-Hashes inventarisieren.
• Direkte Internetexposition sofort entfernen und den Zugriff auf VPN oder vertrauenswürdige Netzwerke beschränken.
• Sobald verfügbar auf ein Release mit Commit 76c4f46 oder neuer aktualisieren; bei Bedarf aus dem korrigierten Commit bauen.
• Logs auf POST-/api/sessions-Anfragen mit unbekannten Providern und auf unerwartete Benutzerkonten prüfen.
• Die Einträge in NVD und CISA KEV erneut prüfen, da der NVD-Status Deferred lautet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-111823

Quellen der Recherche

• Mage PR #6204: Reject unverified OAuth session identities github.com
• Commit 76c4f46 diff for PR #6204 github.com
• Mage PR #6205: Harden version control command execution github.com
• Public proof-of-concept repository (murrez/CVE-2026-111823) github.com
• CVE-2026-111823 CNA record (Vulners) vulners.com
• VulDB entry 421535 vuldb.com
• Mage API reference: sessions overview docs.mage.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:34.