Loom for AWS verlieh jeder nicht authentifizierten Anfrage Super-Admin-Rechte — CVE-2026-103956

Am 2. Oktober 2026 veröffentlichte AWS das Security Bulletin 2026-124-AWS über CVE-2026-103956 in Loom for AWS, der Open-Source-Plattform von AWS Labs zum Erstellen, Bereitstellen und Verwalten von KI-Agenten auf Amazon Bedrock AgentCore Runtime. In einer Bereitstellung, in der kein Identitätsanbieter konfiguriert worden war, übergab die Authentifizierungsabhängigkeit des Backends jeder eingehenden Anfrage eine feste Super-Admin-Identität – auch an Anfragen, die überhaupt keinen Authorization-Header mitbrachten. Ein entfernter Client, der das Backend erreichen konnte, konnte Tool-Server registrieren, gespeicherte Integrations-Zugangsdaten lesen und die IAM-Rollenrichtlinien, die an verwaltete Agent-Rollen angehängt sind, umschreiben: vollständige administrative Kontrolle über die Agent-Steuerungsebene ohne jede Authentifizierung. NVD bewertet die Schwachstelle mit 10,0, kritisch, sowohl nach CVSS 3.1 als auch nach CVSS 4.0. Die Anerkennung für die Entdeckung geht an Kenneth Cox, der im Rahmen einer koordinierten Offenlegung mitwirkte. Der Sicherheitshinweis beschreibt, was die Schwachstelle ermöglichen würde; er beschreibt nicht, was jemand damit getan hat.

Was die Authentifizierungsabhängigkeit tatsächlich tat

Der Fehler lag in der Auth-Abhängigkeit des Backends. Gemäß der GitHub-Sicherheitsmitteilung GHSA-vgmj-998f-r8mp gab der Codepfad in der Auth-Abhängigkeit des Backends – die get_current_user-Funktion im Loom-Backend – eine hartcodierte Administratoridentität zurück, ein Super-Admin-Konto in der g-admins-super-Gruppe, wann immer weder ein Amazon Cognito-Benutzerpool noch ein aktiver externer Identitätsanbieter existierte. Es wurde nicht geprüft, ob der Aufrufer ein Token vorgelegt hatte. Es kam nicht zu einer Ablehnung. Die Administratoridentität wurde trotzdem zurückgegeben.

Das AWS-Bulletin beschreibt die Konsequenz in derselben Weise: Die Schwachstelle ermöglichte es jedem Netzwerkclient, vollständige administrative Kontrolle über die Agent-Steuerungsebene zu erlangen. CVE-2026-103956 ist zugeordnet zu CWE-306 (fehlende Authentifizierung für eine kritische Funktion) und CWE-1188 (unsichere Standardinitialisierung einer Ressource). Der CVSS-3.1-Vektor von NVD lautet AV:N/AC:L/PR:N/UI:N/S:C/C/I:H/I:H/A:H — über das Netzwerk erreichbar, geringe Komplexität, keine Berechtigungen, keine Benutzerinteraktion, geänderter Geltungsbereich, vollständige Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die wichtige Einordnung – und der Teil, der erklärt, warum ein CVSS 10.0 bei einem kleinen Open-Source-Projekt landete – ist, dass ein Deployment ohne IdP nichts Exotisches ist. Eine frische Loom-Installation, bei der Cognito noch nicht angebunden wurde, befindet sich genau in diesem Zustand, und ebenso ein Deployment, dessen Identity-Provider-Konfiguration nie festgelegt wurde oder nicht mehr aufgelöst werden kann. Der Sicherheitshinweis behandelt dies als einen üblichen Zustand und nicht als eine Fehlkonfiguration, die der Betreiber selbst herbeigeführt haben müsste.

Was ein nicht authentifizierter Client erreichen könnte

• Agentenregistrierungen und Tool-Server: Der Client könnte die Tool-Server registrieren oder verändern, die ein Agent aufrufen darf – was in einer Architektur mit Tool-Aufrufen den Unterschied ausmacht zwischen einem Agenten, der ein Ticket liest, und einem Agenten, der etwas ausführt.

• Gespeicherte Integrations-Anmeldedaten: Die Plattform speichert Anmeldedaten für die externen Systeme, mit denen sich ihre Agenten und Tool-Server verbinden, und das Bulletin besagt, dass diese lesbar waren.

• IAM-Rollenrichtlinien für verwaltete Agent-Rollen: Der Sicherheitshinweis beschreibt das Umschreiben der IAM-Rollenrichtlinien, die an die Rollen angehängt sind, die Loom für seine Agents verwaltet – der Schritt, der die Kontrolle über die Orchestrierungsschicht in Kontrolle darüber umwandelt, was die Agents innerhalb des AWS-Kontos tun können.

• Alles andere, was die Plattform verwaltet: Agenten, Erinnerungen, Autorisierer und Sicherheitskonfiguration, Einstellungen – und das Aufrufen jedes Agenten, den das Deployment ausführt.

Diese vier Punkte sind die eigene Liste des Sicherheitshinweises darüber, was vollständiger administrativer Zugriff erreicht – keine Rekonstruktion. Es wird nicht behauptet, dass eine Ausnutzung irgendeinen davon genutzt hat.

Etabliert und nicht etabliert

Bestätigt. Die Sicherheitslücke existierte und ist in vereinbarten Primärquellen dokumentiert: das AWS Security Bulletin 2026-124-AWS vom 2. Oktober 2026, die am selben Tag veröffentlichte GitHub-Advisory GHSA-vgmj-998f-r8mp und der NVD-Datensatz CVE-2026-103956. Die betroffenen Versionen (vor 1.6.1), die CVSS-Scores, die CWE-Zuordnungen, die Fix-Version und die Anerkennung stimmen über alle Quellen hinweg überein. Der Archivdatensatz für diesen Vorfall ist mit Konfidenzstufe A bewertet, nicht bestritten, und real_harm ist als false vermerkt.

Die Felder des Datensatzes selbst verorten die Offenlegung auf den 2. Oktober 2026, mit Tagesgenauigkeit, und beschreiben eine öffentliche Proof-of-Concept-Behauptung als unbestätigt; weder das Bulletin noch das Advisory enthält Belege für einen Angriff. Der öffentliche Datensatz von NVD für CVE-2026-103956 führt CISA's Katalog bekannter ausgenutzter Schwachstellen für diese CVE als leer, und der Archivdatensatz führt real_harm als false. Also: eine Schwachstelle, die ein nicht authentifizierter Netzwerkclient ausnutzen könnte, ohne dass die Quellen Belege dafür enthalten, dass dies jemand getan hat.

Auch das ist eine Trennung wert. Der CVSS-Wert von 10,0 misst, wozu die Schwachstelle in der Lage wäre, nicht, was sie angerichtet hat. Ein 10,0 ohne Ausnutzung und ohne dokumentierten Schaden ist ein Beinahe-Vorfall, und das Archiv verbucht ihn auch so.

Die Lösung und die zweimonatige Lücke, bevor sie benannt wurde.

AWS hat das Problem in Loom 1.6.1 behoben, veröffentlicht am 4. August 2026. Dieses Datum ist wichtig: Die Veröffentlichung erfolgte etwa zwei Monate vor dem Bulletin, und die CVE-Nummer war öffentlich vorhanden. Die Versionshinweise zu v1.6.1 beschreiben die Änderung, ohne eine CVE zu nennen — die Authentifizierungsumgehung erfordert jetzt ein explizites Opt-in sowie einen Loopback-Client und schlägt andernfalls fail-closed mit einem 401 fehl — daher waren der Schweregrad der Schwachstelle und ihre Bezeichnung nur für Loom-Nutzer sichtbar, die die Tracker verfolgten, nicht für jemanden, der nur die Versionshinweise las. Dasselbe Release fügte SSRF-Härtung für OAuth-Discovery-Abrufe hinzu.

Für bereits exponierte Deployments lautet die Vor-Upgrade-Empfehlung von AWS, einen Amazon Cognito-Benutzerpool oder einen aktiven externen Identitätsanbieter vollständig zu konfigurieren, bevor das Backend über Loopback hinaus erreichbar ist, und sicherzustellen, dass LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV außerhalb der lokalen Entwicklung nicht gesetzt ist und der Netzwerk- oder Sicherheitsgruppenzugriff auf das Backend in der Zwischenzeit eingeschränkt wird. Das Bulletin stellt ausdrücklich klar, dass eine Netzwerkeinschränkung die Wahrscheinlichkeit unbeabsichtigten Zugriffs verringert, das Problem aber ohne das Upgrade nicht schließt und dass Forks und abgeleiteter Code ebenfalls gepatcht werden müssen.

Gleiches Bulletin, andere Mängel

Die Zusammenfassung des Datensatzes merkt an, dass es bei 2026-124-AWS nicht nur um diese CVE geht. Am selben Tag wurden zwei weitere Loom-Probleme offengelegt und in Loom 1.7.0 behoben: CVE-2026-103957, eine SSRF in der OAuth2-Discovery-Verarbeitung, die OAuth2-Client-Secrets oder das Zugriffstoken eines anderen Benutzers an einen vom Angreifer kontrollierten Endpunkt senden konnte (CVSS 3.1 6,2, CVSS 4.0 8,2), und CVE-2026-103958, eine SSRF in der Verarbeitung von Tool-Server- und Remote-Agent-Verbindungen, die beliebige interne Adressen erreichen konnte, einschließlich des Endpunkts des Containers zur Bereitstellung von Anmeldeinformationen, und die Antworten lesen konnte (CVSS 3.1 7,6, CVSS 4.0 8,3). Beide erforderten einen authentifizierten Benutzer, der über den Scope mcp:write oder a2a:write verfügte. Das Bulletin behandelt außerdem CVE-2026-104019, eine OS-Befehlsinjektion im Startup-Validierungsskript von Studio Space, das von Amazon SageMaker Unified Studio verwendet wird, mit 9,0 als kritisch unter CVSS 3.1 bewertet, die AWS nach eigenen Angaben serverseitig mit einer globalen bereinigenden Änderung behoben hat, die beim nächsten Neustart von Space angewendet wird.

Nach dem Upgrade bittet AWS Betreiber, OAuth2-Client-Secrets für MCP- und A2A-Integrationen zu rotieren, Tokens, die während des betroffenen Zeitfensters aktiv waren, zu widerrufen und neu auszustellen, und – falls auf Anmeldedaten der Container-Rolle zugegriffen wurde – die Sitzungsanmeldedaten der IAM-Rolle zu rotieren und CloudTrail zu überprüfen.

Warum dieser Datensatz im Archiv ist

CVE-2026-103956 ist als Schwachstelle erfasst, nicht als Vorfall: gefunden, nicht unbedingt ausgenutzt, INFRA und CRED, GLOBAL, hoher Schweregrad, hohe Konfidenz. Sein Wert im Datensatz besteht darin, ein Grenzfall für die gesamte Kategorie der Agenten-Steuerungsebenen zu sein. Loom hat die Aufgabe, die Identitäten, die Tool-Server-Registrierungen zusammen mit ihren Integrations-Anmeldeinformationen und die IAM-Richtlinien zu verwalten, die entscheiden, worauf Agenten zugreifen dürfen — die Schicht, die eine Agentenplattform mit dem Cloud-Konto verbindet, in dem sie sich befindet. Eine fehlende Prüfung in dieser Schicht beeinträchtigt einen Agenten nicht; sie überträgt den gesamten Bestand. Ein verwandter Datensatz im Archiv, die AgentCorruption-Offenlegung vom 8. Oktober 2026 gegen Amazon Bedrock AgentCore, beschreibt, wie dieselbe Schicht über einen anderen Weg erreicht wird, eine SSRF-Kette von einem öffentlich zugänglichen Agenten aus.

Das Archiv führt jeden dokumentierten Agentenvorfall auf, den es enthält, jeweils mit eigenen Quellen, Schweregrad, Vertrauensstufe und Umstritten-Kennzeichnung – neben diesem hier. Dieser Artikel behandelt einen einzelnen Datensatz aus dieser Menge, und in dem Datensatz findet sich die vollständige Feld-für-Feld-Klassifizierung.

Dies ist ein Datensatz, von anderen recherchiert und berichtet und hier unter Verweis auf sie zitiert. Looms eigene Ebene – Identitäten, Tool-Server-Registrierungen und die IAM-Richtlinien, die entscheiden, worauf Agenten zugreifen dürfen – ist die Ebene, die von den benachbarten Einträgen in dem KI-Vorfallarchiv ebenfalls erreicht wird, und jeder dieser Datensätze enthält seine eigenen Quellen, Schweregrad, Vertrauensgrad und Kennzeichnung als umstritten.