Letta: Mandantenübergreifende Identitätsübernahme über user_id-Header

Zusammenfassung

Letta bis einschliesslich 0.16.8 vertraut einem user_id-HTTP-Header, um zu bestimmen, zu welchem Mandanten eine Anfrage gehört, ohne diesen gegen eine Berechtigung zu prüfen. Ein API-Aufrufer, der die user_id eines anderen Mandanten kennt oder errät, kann dessen Agenten, Speicher und Konfiguration lesen und verändern. Die Aktivierung von LETTA_SERVER_SECURE verhindert dies nicht, weil das gemeinsame Admin-Geheimnis den Aufrufer nicht an einen Mandanten bindet.

Betroffen

• Letta bis einschliesslich 0.16.8
• Verwundbarer Code: letta/server/rest_api/dependencies.py (ca. Zeile 39)

Behoben in

Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version bestätigt.

Umgehung

• Keine vom Hersteller bestätigte Massnahme.
• LETTA_SERVER_SECURE nicht als Schutzmassnahme verwenden.
• Die Letta-API nicht öffentlich erreichbar machen und den Zugriff auf vertrauenswürdige interne Clients beschränken.
• Einen Reverse Proxy vorschalten, der vom Client gesendete user_id-Header entfernt oder überschreibt (Einschätzung des Betreibers, nicht vom Hersteller).

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Eine öffentliche Beschreibung von Lasso dokumentiert eine Reproduktion, einschliesslich eines mandantenübergreifenden Schreibzugriffs über Tool-Ausführung.
• CISA SSVC: Exploitation PoC, nicht automatisierbar, totale technische Auswirkung.
• EPSS etwa 0,4 % (Verno-Index).

Unsere Empfehlung

• Prüfen, ob Letta eingesetzt wird, insbesondere auf öffentlich erreichbaren oder mandantenfähigen Instanzen.
• Netzwerkzugriff auf die Letta-API einschränken und die oben genannte Header-Filterung im Reverse Proxy umsetzen.
• Logs auf ungewöhnliche oder fremde user_id-Header-Werte überwachen.
• Datenschutzrechtliche Folgen prüfen, falls personenbezogene Daten im Agentenspeicher liegen (revDSG/nDSG).
• Beim Hersteller eine korrigierte Version anfragen und diese nach Veröffentlichung umgehend einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Lasso vulnerability database: CVE-2026-77937 www.lasso.security
• VulnCheck advisory: Letta cross-tenant impersonation www.vulncheck.com
• Letta source code: dependencies.py line 39 github.com
• VulDB: CVE-2026-77937 vuldb.com
• Letta 0.16.8 release github.com
• Verno Labs index (EPSS) vernolabs.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:44.