Labs64 NetLicensing MCP Server: REST-Pfad-Traversierung umgeht Token-Schwärzung
Zusammenfassung
Der NetLicensing MCP Server übergibt eine vom Aufrufer gelieferte Produktnummer ungeprüft in einen REST-Pfad. Enthält der Wert Traversierungssegmente wie "../", normalisiert der HTTP-Client die Anfrage auf den Endpunkt /token, und die Antwort umgeht die Schwärzung der Felder APIKEY-Nummer und SHOP-shopURL. Ein authentifizierter MCP-Client mit einem nicht administrativen API-Schlüssel kann so Token-Werte im Klartext auslesen, und ein erbeutetes administratives Token gewährt umfassenden Lese-, Schreib- und Löschzugriff auf das NetLicensing-Konto.
Betroffen
- Labs64 NetLicensing-MCP Versionen vor 0.1.8
Behoben in
- Version 0.1.8 (Fix-Commit b8fd0ea76d533202573eb24add9fb2fbd9331496). Neueste Version zum Zeitpunkt der Recherche: 0.1.10.
Umgehung
- Kein Workaround des Herstellers bekannt. Das Aktualisieren ist die dokumentierte Massnahme.
Ausnutzung
- CISA SSVC: Exploitation-Status "poc", nicht automatisierbar.
- Öffentlicher Proof of Concept verfügbar; keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Angreifer benötigt einen gültigen NetLicensing-API-Schlüssel, der MCP-Tools aufrufen kann.
Unsere Empfehlung
- NetLicensing MCP Server auf Version 0.1.8 oder neuer aktualisieren.
- NetLicensing-API-Schlüssel rotieren, die der Server erreichen konnte, da Schlüssel bereits offengelegt worden sein könnten.
- Bis zur Aktualisierung den Zugriff auf den Server auf berechtigte MCP-Clients beschränken und die hinterlegten API-Schlüssel einschränken.
- Aktivitäten im NetLicensing-Konto auf unerwartete Lese-, Schreib- oder Löschvorgänge prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub security advisory GHSA-hxpf-9xvq-wph8 github.com
- Fix commit b8fd0ea github.com
- Pull request #6 github.com
- Release 0.1.8 github.com
- OSV GHSA-hxpf-9xvq-wph8 osv.dev
- OpenCVE CVE-2026-57496 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:48.
Referenzen der NVD (5)
- https://github.com/Labs64/NetLicensing-MCP/commit/b8fd0ea76d533202573eb24add9fb2fbd9331496
- https://github.com/Labs64/NetLicensing-MCP/pull/6
- https://github.com/Labs64/NetLicensing-MCP/releases/tag/0.1.8
- https://github.com/Labs64/NetLicensing-MCP/security/advisories/GHSA-hxpf-9xvq-wph8
- https://github.com/Labs64/NetLicensing-MCP/security/advisories/GHSA-hxpf-9xvq-wph8
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.