Thought Leadership
Eine Schwachstelle in der KI-Entwicklungsumgebung AWS Kiro erlaubte die Code-Ausführung über manipulierte Webseiten. AWS hat die Lücke geschlossen.
Sicherheitsforscher von Intezer und Kodem Security haben eine Schwachstelle in der KI-gestützten Entwicklungsumgebung AWS Kiro aufgedeckt. Das Konzept der Anwendung sieht vor, dass Entwickler risikobehaftete Aktionen wie das Ausführen von Shell-Befehlen manuell bestätigen. Die Schwachstelle ermöglichte es jedoch, diese Bestätigung ohne Interaktion des Anwenders zu umgehen. Betroffen war die Datei mcp.json im Verzeichnis ~/.kiro/settings/, in der Kiro die Konfiguration für externe Werkzeuge des Model Context Protocol speichert. Das System konnte diese Datei über ein internes Dateisystem-Werkzeug eigenständig beschreiben und neu laden, wodurch hinterlegte Befehle mit den Zugriffsrechten des Entwicklers auf dem lokalen System ausgeführt wurden.
Ausnutzung durch unsichtbaren Text auf Webseiten
Um die Manipulation auszulösen, nutzten die Forscher eine indirekte Prompt-Injektion. Wenn ein Anwender die KI beauftragte, eine externe Webpräsenz oder API-Dokumentation zusammenzufassen, las Kiro im Hintergrund verborgene Anweisungen ein. Im Testaufbau wurde dazu weißer Text in kleiner Schriftgröße auf einer Dokumentationsseite platziert. Die KI verarbeitete den verborgenen Text als Einrichtungsaufgabe, trug einen präparierten Eintrag in die Datei mcp.json ein und veranlasste das Neuladen der Konfiguration. Eventuell eingeblendete Hinweisfenster über die geänderte Konfiguration stoppten den Ladevorgang dabei nicht.
Behebung der AWS-Lücke und Schutz geschützter Dateipfade
AWS hat die Schwachstelle mit der Softwareversion 0.11.130 behoben. Das Update führt geschützte Dateipfade ein, die Schreibzugriffe auf sensible Dateien wie mcp.json, .vscode/tasks.json oder das Git-Verzeichnis systemseitig einschränken und in jedem Betriebsmodus eine ausdrückliche Bestätigung erfordern. In der Dokumentation zur Software heißt es bezüglich der Betriebsmodi:
„Der betreute Modus ist ein Code-Review-Workflow, keine Sicherheitskontrolle.“
AWS
Eine allgemeine CVE-Nummer wurde für diesen spezifischen Vorfall nicht vergeben. Nach Angaben der Forscher lagen keine Erkenntnisse über eine Ausnutzung der Lücke außerhalb von Testumgebungen vor.
(red)
