Kali-GPT: OS-Command-Injection über MCP-Scanner-Tool-Parameter

Zusammenfassung

Kali-GPT bis Commit a608c74 enthält eine OS-Command-Injection-Schwachstelle im MCP-Server (execute_tool in kali_gpt/tools/mcp_server.py). Scanner-Parameter wie target, ports, domain, wordlist oder url werden unbereinigt an eine Shell übergeben, wodurch Shell-Metazeichen ausgeführt werden. Ein Angreifer mit Zugriff auf die MCP-Schnittstelle oder ein durch Prompt Injection manipuliertes KI-Agenten-System kann Befehle als Benutzer des MCP-Servers ausführen.

Betroffen

• Kali-GPT bis Commit a608c74e99910232dd208fee99de860458672b82
• Betroffene Komponente: kali_gpt/tools/mcp_server.py (MCP-Server)
• Betroffenheit späterer Commits: Unbekannt.

Behoben in

Unbekannt. Bis 1. November 2026 wurde kein Herstellerfix oder Release gefunden.

Umgehung

• MCP-Server aus dem betroffenen Commit nicht ausführen oder deaktivieren, falls er nur zu Testzwecken genutzt wird.
• Falls er betrieben werden muss, einen dedizierten Benutzer mit wenigen Rechten in einem Container oder einer VM ohne Zugriff auf sensible Daten oder Zugangsdaten verwenden.
• Einschränken, welche MCP-Clients sich verbinden können, und KI-Agenten, die unvertrauenswürdige Inhalte verarbeiten, nicht auf diesen Server zugreifen lassen.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden. Nicht in CISA KEV gelistet.
• Öffentlicher Proof of Concept: Injection-Demonstrationen sind im Upstream-Issue enthalten; kein waffenfähiger Exploit bereitgestellt. Nicht in Metasploit oder Exploit-DB indexiert.
• CVSS-4.0-Vektor: lokaler Angriffsvektor, niedrige Berechtigungen, keine Benutzerinteraktion.

Unsere Empfehlung

• Prüfen, ob Kali-GPT installiert ist und ob der MCP-Server läuft, insbesondere auf Arbeitsstationen mit Zugangsdaten, SSH-Schlüsseln oder Kundendaten.
• MCP-Server deaktivieren oder die betroffene Version entfernen, bis ein Fix veröffentlicht ist.
• MCP-Server nicht in Netzwerke oder für unvertrauenswürdige KI-Agenten exponieren.
• Upstream-Repository auf einen Fix überwachen. Die Priorität ist für die meisten KMU niedrig, ausser das Tool wird mit KI-Agenten auf gemeinsam genutzten oder aus dem Internet erreichbaren Hosts verwendet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-117569 VulnCheck advisory www.vulncheck.com
• Upstream issue #12 github.com
• Vulnerable code (mcp_server.py at a608c74) github.com
• Kali-GPT project repository github.com
• Strix CVE entry www.strix.ai
• OffSeq Radar threat entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:58.