Betroffene Einrichtungen
Bereich
In Ruflo, einem Agent-Meta-Harness für Claude Code und Codex, waren vor Version 3.16.3 die MCP-Bridge-Endpunkte POST /mcp und POST /mcp/:group im Standard-Docker-Compose-Deployment ohne jede Authentifizierung erreichbar. Ein unauthentifizierter Netzwerkangreifer konnte dadurch über das tool/call-Interface den terminal_execute-Befehl ausführen, eine Shell im Bridge-Container erlangen, Provider-API-Schlüssel auslesen und die AgentDB-Lernmuster gezielt vergiften (Prompt Poisoning). Sofern Ruflo in Gesundheitseinrichtungen zur KI-gestützten Automatisierung – etwa in Verbindung mit KIS-Schnittstellen oder klinischen Workflows – eingesetzt wird, besteht das Risiko eines vollständigen Kontrollverlusts über die KI-Infrastruktur sowie der Kompromittierung sensibler API-Zugangsdaten. Angesichts des maximalen CVSS-Scores von 10.0 ist eine sofortige Aktualisierung auf Version 3.16.3 und die Prüfung bereits kompromittierter Zugangsdaten dringend erforderlich.
1 Ruflo auf Version 3.16.3 aktualisieren, da erst diese Version die unauthentifizierten MCP-Bridge-Endpunkte (POST /mcp und POST /mcp/:group) absichert.
2. Bis zur Aktualisierung den Netzwerkzugang zur Docker-Compose-Deployment-Instanz durch Firewall-Regeln auf vertrauenswürdige IP-Bereiche einschränken, um unauthentifizierten Zugriff auf die MCP-Endpunkte zu unterbinden.
3. Alle exponierten Provider-API-Schlüssel als kompromittiert betrachten, sofort rotieren und auf unautorisierten Zugriff in den Logs der betroffenen KI-Dienste prüfen.
4. AgentDB-Lernmuster auf Anzeichen von Poisoning-Angriffen untersuchen und ggf. aus einem vertrauenswürdigen Backup wiederherstellen.
5. Interne Inventarisierung durchführen, ob Ruflo im Klinikumfeld eingesetzt wird, und Ergebnis sowie getroffene Maßnahmen dokumentieren (Nachweis für NIS2/B3S).
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja