WeKnora CVE-2026-30856: Tool-Routing nach Behebung der Überschattung prüfen

Worum es geht

Stand: 25. Oktober 2026. Vor dem Deployment den betroffenen Versionsbereich im WeKnora-Sicherheitshinweis und mögliche neuere Sicherheitsversionen erneut prüfen. Der am 6. März 2026 veröffentlichte Sicherheitshinweis des Herstellers nennt CVE-2026-30856 und führt Versionen bis einschliesslich 0.2.14 als betroffen sowie 0.3.0 als bereinigt auf. Eine Namenskollision im Tool-Register des Clients konnte die vorgesehene Implementierung durch das Tool eines bösartigen Servers ersetzen; eingeschleuste Tool-Ausgaben konnten anschliessend weitere Handlungen beeinflussen. WeKnora-Sicherheitshinweis.

Dies ist sowohl ein Problem der Integrität der Aufrufweiterleitung als auch ein Prompt-Injection-Problem. Ein vertrauter angezeigter Name belegt nicht, welcher entfernte Server einen Aufruf erhält. CWE-706 beschreibt Namen, die auf Ressourcen ausserhalb ihres vorgesehenen Kontrollbereichs aufgelöst werden. CWE-706.

Warum es wichtig ist

Die MCP-Spezifikation sieht vor, dass Tool-Namen innerhalb eines Servers eindeutig sein sollten. Diese Regel schafft keinen globalen Namensraum über alle verbundenen Server hinweg. Ein Client, der deren Tools zusammenführt, muss die Serveridentität bei Anzeige, Freigabe und Weiterleitung von Operationen erhalten. Auch Tool-Annotationen bleiben nicht vertrauenswürdig, solange ihre Quelle nicht vertrauenswürdig ist. MCP-Tools.

Für die festgestellte Schwachstelle ist ein Upgrade erforderlich. Betreiber benötigen aber auch einen Nachweis, dass sich das laufende Deployment geändert hat und zuvor registrierte Server weiterhin autorisiert sind. Eine Registrierung aus der Zeit vor dem Upgrade sollte geprüft werden, selbst wenn ihre Tool-Namen unauffällig wirken.

So wird es angewendet

• Das bereitgestellte Artefakt vor dem Ersetzen dokumentieren. Bei Docker-Installationen in docker inspect --type=container --format='{{.Config.Image}}' WEKNORA_CONTAINER den tatsächlichen Containernamen einsetzen. Der Befehl meldet die konfigurierte Image-Referenz; das daraus aufgelöste Artefakt mit den Deployment-Aufzeichnungen abgleichen, da ein veränderbares Tag allein keine Version belegen kann. Docker inspect.
• Betroffene WeKnora-Deployments auf eine unterstützte Version aktualisieren, die die Fehlerbehebung aus 0.3.0 enthält. Nur genehmigte MCP-Server wieder verbinden und das neu aufgebaute Register mit dem genehmigten Inventar vergleichen.
• Beim Entwurf eines Clients eine unveränderliche Serveridentität und den exakten Tool-Namen als Routing-Schlüssel verwenden. Die für Menschen lesbare Bezeichnung getrennt halten. Mehrdeutige Registrierungen ablehnen, statt einen bestehenden Eintrag stillschweigend zu ersetzen. Dies begegnet der in CWE-706 beschriebenen Klasse fehlerhafter Auflösungen.
• Geprüfte Definitionen festschreiben und Änderungen zur Prüfung kennzeichnen. Bei der Freigabe Serveridentität, Operation und Argumente anzeigen. Sicherstellen, dass die freigegebene Identität auch bei der Aufrufweiterleitung verwendet wird, einschliesslich nach erneuten Verbindungen oder Registeraktualisierungen.
• Gewöhnliche zulässige Aufrufe in einem Test-Deployment prüfen und ihr tatsächliches Ziel aufzeichnen. Prüfen, dass Registeraktualisierungen dieses Ziel nicht unbemerkt ändern können. Dies sind vorgeschlagene Abnahmeprüfungen, keine berichteten Testergebnisse.
• Falls frühere Aufrufe einen nicht genehmigten Server erreichten, das Tool-Inventar und die Aufrufprotokolle sichern. Ermitteln, welcher Kontext oder welche Zugangsdaten offengelegt wurden, und betroffene Zugangsdaten widerrufen. Die oben genannten Symptome als Untersuchungsansätze behandeln, nicht als Beweis für eine Kompromittierung.

Stolpersteine

Ein lesbares Präfix hinzuzufügen, ohne intern eine eindeutige Identität zu erhalten, kann Kollisionen weiterhin ermöglichen. Ein Hash einer Definition erkennt Änderungen, belegt aber nicht die Vertrauenswürdigkeit ihres ursprünglichen Herausgebers. Ein Prüfdialog ist nur dann hilfreich, wenn er den Server ausweist, der den genehmigten Aufruf tatsächlich ausführen wird.