Gearboy: Fehlende Authentifizierung im eingebetteten MCP-HTTP-Server
Zusammenfassung
Gearboy, ein Game-Boy-Emulator und Debugger, besitzt einen optionalen MCP-HTTP-Modus, der unauthentifizierte Anfragen von jedem erreichbaren Netzwerkteilnehmer akzeptiert. Der Server lauscht standardmässig auf allen Schnittstellen und erzwingt weder Autorisierung noch Host- oder Origin-Prüfungen, sodass ein Teilnehmer im selben Netzwerk eine MCP-Sitzung starten und Emulator- und Debugging-Funktionen aufrufen kann. Die gemeldete Auswirkung beschränkt sich auf den Emulatorprozess, den Debugging-Zustand und lokale Mediendateien; eine Ausführung von Code auf dem Host ist nicht belegt. Voraussetzung für eine Ausnutzung ist, dass der MCP-HTTP-Modus aktiviert ist und der Host aus dem Netzwerk erreichbar ist.
Betroffen
- drhelius Gearboy-Versionen vor 3.8.7
- Nur Installationen, die mit der Option --mcp-http gestartet werden, sind betroffen
Behoben in
- Auf Gearboy 3.8.7 oder neuer aktualisieren (Fix-Commit e2ead98e2fac41e9df5a499e9e421c6a0e73f1bc)
- Die Versionshinweise des Herstellers zu 3.8.7 erwähnen die Sicherheitskorrektur nicht explizit; Überprüfung über das GitHub-Sicherheitsadvisory
Umgehung
- Gearboy nicht mit --mcp-http starten
- Falls der MCP-HTTP-Modus benötigt wird, den TCP-Port 7777 (Standard) auf der Host-Firewall für den Netzwerkzugriff blockieren
- GEARBOY_MCP_HTTP_TOKEN setzen und die Standard-Bindung an die Loopback-Adresse verwenden (Dokumentation des Herstellers zu 3.8.7)
Ausnutzung
- Zum Zeitpunkt der Recherche sind keine Hinweise auf aktive Ausnutzung bekannt
- Nicht im CISA-KEV-Katalog aufgeführt
- In wichtigen Quellen wurde kein öffentlicher Exploit-Code gefunden; ein Aggregator führt einen nicht verifizierten PoC-Eintrag auf
Unsere Empfehlung
- Endgeräte auf Gearboy prüfen und auf 3.8.7 oder neuer aktualisieren
- --mcp-http auf Arbeitsstationen deaktivieren, sofern nicht benötigt
- Den MCP-Port in Büronetzwerken nicht freigeben
- Priorität tief ansetzen, da Gearboy ein Hobby-Werkzeug ist und typischerweise nicht auf Geschäftsservern betrieben wird
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-fmvx-487g-mrww github.com
- Fix commit e2ead98 github.com
- Gearboy 3.8.7 release github.com
- VulDB CVE-2026-61542 vuldb.com
- OffSeq radar CVE-2026-61542 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.