Ruflo, früher unter dem Namen Claude Flow bekannt, dient zur Orchestrierung von KI-Agenten und unterstützt laut Beschreibung die Koordination von bis zu 100 Agenten für gemeinsame Aufgaben auf Unternehmensebene. Hinzu kommen ein Langzeitspeicher, mit dem Agenten frühere Interaktionen berücksichtigen können, sowie ein integrierter MCP-Server, über den Agenten unterschiedliche Aufgaben ausführen.
Gerade diese MCP-Bridge ist laut Noma Labs der zentrale Sicherheitsgrenzpunkt des Systems. Die Forscher weisen darauf hin, dass die Bridge 233 Werkzeuge bereitstellt, darunter Shell-Zugriff, Datenbankoperationen, Agentenverwaltung und Speicherfunktionen. Da jede Aktion der Agenten über diese Komponente läuft und sie direkten Zugriff auf zugrunde liegende Systemressourcen benötigt, habe ein Fehler an dieser Stelle besonderes Gewicht.
Konkret sitzt die Schwachstelle in der MCP-Bridge innerhalb von ruflo/docker-compose.yml. Ruflos Advisory zufolge waren in Standardbereitstellungen per docker-compose sowohl die Bridge als auch MongoDB an alle Schnittstellen gebunden. Ein nicht authentifizierter Angreifer konnte dadurch terminal_execute aufrufen und Befehle innerhalb des Bridge-Containers ausführen.
Noma Labs gab der Schwachstelle den Namen RufRoot. Als eigentliche Ursache nennen die Forscher die Voreinstellung, Port 3001 an 0.0.0.0 zu binden. Bei selbst gehosteten Installationen seien dadurch alle über das Netzwerk erreichbaren Instanzen ohne Authentifizierung exponiert. Mit einer einzelnen HTTP-Anfrage an ruflo__terminal_execute lasse sich der Agentenschwarm übernehmen, weil der Befehl als Benutzer node im Container ausgeführt werde und so Zugriff auf alle dort erreichbaren Ressourcen ermögliche.
Nach Angaben von Noma könnte ein erfolgreicher Angriff Shell-Zugriff als node verschaffen, Provider-API-Schlüssel auslesen, Agentenschwärme mit den Schlüsseln des Opfers starten und schädliche Muster in den AgentDB-Lernspeicher einbringen. Dadurch ließen sich KI-Ausgaben für alle Nutzer manipulieren. Die Forscher nennen zudem weitere mögliche Folgen: Aufklärung im Zielsystem, Remotecodeausführung, Diebstahl von API-Schlüsseln und Gesprächen, vom Angreifer kontrollierte Agentenschwärme, Vergiftung der Lernpipeline, dauerhafte Hintertüren und das Löschen der Shell-Historie zur Spurenbeseitigung.
Noma Labs betont, die MCP-Bridge sei keine beliebige Hilfsschnittstelle, sondern das „zentrale Nervensystem“ von Ruflo. Jeder Werkzeugaufruf, jede Agentenaktion und jede Speicheroperation laufe über diese Komponente. Wer unauthentifizierten Zugriff auf die MCP-Bridge erhalte, bekomme damit faktisch unauthentifizierten Zugriff auf alles, was daran hängt.
Behoben wurde die Lücke in Ruflo Version 3.16.3. Laut dem Hersteller adressiert der Fix alle beschriebenen Angriffswege. Zusätzlich haben die Maintainer Hinweise veröffentlicht, wie Nutzer exponierte Instanzen absichern und bereinigen sollen.