„`html
Zusammenfassung
In der Hulupeep mcp-ui-probe Komponente bis Version 0.2.0 wurde eine Path-Traversal-Schwachstelle identifiziert. Die Sicherheitslücke betrifft mehrere Funktionen der Journey/Usage-Komponente und ermöglicht es Angreifern mit lokalen Systemzugriff, auf unbefugte Dateien zuzugreifen. Bisher liegt kein Patch vor.
Betroffene Systeme
Hulupeep mcp-ui-probe in den Versionen bis 0.2.0 sind betroffen. Die Path-Traversal-Schwachstelle befindet sich in der Datei src/journey/JourneyStorage.ts der Journey/Usage-Komponente. Systeme mit dieser Software sollten überprüft werden.
Technische Details
Die Schwachstelle liegt in den Funktionen get_journey, delete_journey, analyze_journey und usage_stats. Durch manipulierte Eingaben in den Parametern journeyId oder filename ist ein Path-Traversal-Angriff möglich. Ein Angreifer kann mit Zeichen-Sequenzen wie ../ das Dateisystem durchlaufen und auf Dateien außerhalb des vorgesehenen Verzeichnisses zugreifen.
Das Angriffsvektor ist lokal beschränkt, erfordert also bereits vorhandenen Systemzugriff. Dies mindert das Risiko öffentlich exponierter Systeme, erhöht aber die Gefahr von Privilege-Escalation-Szenarien oder Datenlecks in Multi-Tenant-Umgebungen.
Empfohlene Massnahmen
- Sofortige Überprüfung der eingesetzten Versionen auf betroffenen Systemen
- Eingabevalidierung implementieren: journeyId und filename gegen White-List-Pattern prüfen
- Path-Normalisierung durchführen und auf erlaubte Verzeichnisse begrenzen
- Dateisystem-Zugriffe mit minimalen Berechtigungen ausführen
- Regelmäßige Überwachung auf neue Patches des Hulupeep-Projekts
- Lokale Zugriffskontrolle verstärken, um unbefugte Systemzugriffe zu verhindern
Bewertung
CVSS Score: 5.3 (Mittel)
Trotz des mittleren CVSS-Scores sollte diese Schwachstelle ernst genommen werden. Der lokale Angriffsvektor begrenzt die unmittelbare Reichweite, jedoch besteht in Umgebungen mit mehreren lokalen Benutzern ein erhöhtes Risiko. Die fehlende Patch-Verfügbarkeit macht Workarounds notwendig.
„`