{"id":314266,"date":"2025-08-06T01:50:00","date_gmt":"2025-08-05T23:50:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=314266"},"modified":"2025-08-06T01:50:00","modified_gmt":"2025-08-05T23:50:00","slug":"kritische-schwachstelle-in-ki-basiertem-coding-tool-cursor","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/08\/06\/kritische-schwachstelle-in-ki-basiertem-coding-tool-cursor\/","title":{"rendered":"Kritische Schwachstelle in KI-basiertem Coding-Tool Cursor"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>[English]Sicherheitsforscher von Check Point haben eine schwerwiegende Sicherheitsl\u00fccke im KI-Entwickler-Tool Cursor gefunden. Die von Check Point als MCPoison bezeichnete Schwachstelle (CVE-2025-54136) erm\u00f6glicht Angreifern \u00fcber das MCP-System von Cursor, sch\u00e4dlichen Code in die Projekte der Nutzer einzuschleusen. Das ist ein Paradebeispiel f\u00fcr neuartige Lieferketten-Angriffe in KI-gest\u00fctzten Entwickler-Umgebungen.<\/p>\n<p><!--more--><\/p>\n<p><span data-contrast=\"auto\">Check Point Research (CPR) hat eine kritische Schwachstelle im KI-basierten Coding-Tool <em>Cursor<\/em> entdeckt, die es Hackern erlaubt, dauerhaft Remote-Code auszuf\u00fchren. CPR kam der Schwachstelle (<a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-54136\" target=\"_blank\" rel=\"noopener\">CVE-2025-54136<\/a>) bei der Untersuchung von Sicherheitsmodellen innerhalb von MCP-Systemen KI-unterst\u00fctzter Coding-Tools auf die Schliche. Die Sicherheitsl\u00fccke betrifft das Model Context Protocol (MCP) von Cursor und kann zur wiederholten Einschleusung von sch\u00e4dlichem Code missbraucht werden.\u00a0<\/span><\/p>\n<h2>Was ist Cursor?<\/h2>\n<p>Bei Cursor handelt es sich um eine IDE (Integrierte Entwicklungsumgebung), die eines der am schnellsten wachsenden KI-gest\u00fctzten Coding-Tools ist. Cursor kombiniert die lokale Code-Bearbeitung mit leistungsstarken LLM-Integrationen, um Teams beim Schreiben, Debuggen und Durchsuchen von Code zu helfen. Aufgrund seiner Flexibilit\u00e4t wird Cursor zunehmend von Startups, Forschergruppen und einzelnen Entwicklern eingesetzt, die KI-Tools direkt in ihre Entwicklung integrieren m\u00f6chten.<\/p>\n<p>Die zunehmende Beliebtheit hat CPR veranlasst, sich das Sicherheitsmodell hinter diesen Tools genauer anzuschauen. In das Blickfeld der Untersuchung geriet das MCP-System von Cursor. Dabei handelt es sich um Konfigurationsdateien, die Cursor mitteilen, wie bestimmte Aufgaben zu automatisieren sind. Entwickler k\u00f6nnen \u00fcber diese Funktion verschiedene Tools, Skripte oder KI-gesteuerte Workflows direkt in ihre Programmierumgebung einbinden.<\/p>\n<p>CPR untersuchte, ob Cursor Code-\u00c4nderungen innerhalb von MCP angemessen ber\u00fccksichtigt. Bei der kollaborativen Entwicklung kommen Bearbeitungen h\u00e4ufig vor und jede L\u00fccke in der Validierung kann zu Befehlsinjektionen, Code-Ausf\u00fchrung oder dauerhaften Kompromittierungen f\u00fchren.<\/p>\n<h2>Wie die Sicherheitsl\u00fccke funktioniert<\/h2>\n<p>Wenn ein Benutzer ein Projekt \u00f6ffnet, das eine MCP-Konfiguration enth\u00e4lt, zeigt Cursor eine einmalige Genehmigungsaufforderung an, in der gefragt wird, ob der Nutzer der Konfiguration vertraut. Doch hier liegt das Problem: Sobald ein MCP genehmigt ist, wird er von Cursor nie wieder \u00fcberpr\u00fcft, selbst wenn die darin enthaltenen Befehle sp\u00e4ter stillschweigend ge\u00e4ndert werden.<\/p>\n<p>Das bedeutet, dass ein Angreifer, der mit demselben gemeinsamen Repository arbeitet, eine sicher erscheinende MCP-Konfiguration zu einem Projekt hinzuf\u00fcgen und dann darauf warten kann, dass jemand anderes aus dem Team sie abruft. Diese Konfiguration kann er sp\u00e4ter f\u00fcr b\u00f6sartige Zwecke nutzen, zum Beispiel, um ein Skript zu starten, eine Hintert\u00fcr zu \u00f6ffnen oder Daten an einen externen Server zu senden. Jedes Mal, wenn das Opfer das Projekt in Cursor \u00f6ffnet, wird der neue Befehl automatisch ausgef\u00fchrt, ohne eine neue Eingabeaufforderung oder Warnung auftauchen zu lassen.<\/p>\n<p>CheckPoint hat die\u00a0<span data-contrast=\"auto\">technischen Einzelheiten und ein <\/span>Demo-Video<span data-contrast=\"auto\"> des Angriffs in <a href=\"https:\/\/research.checkpoint.com\/2025\/cursor-vulnerability-mcpoison\/\" target=\"_blank\" rel=\"noopener\">diesem Artikel<\/a> ver\u00f6ffentlicht.\u00a0<\/span><\/p>\n<h2>Warum die Sicherheitsl\u00fccke gef\u00e4hrlich ist<\/h2>\n<p>CPR fand genau das: eine schwerwiegende Schwachstelle im MCP-System von Cursor, die eine dauerhafte Remotecode-Ausf\u00fchrung (RCE) erm\u00f6glicht. Sobald ein Benutzer eine MCP-Konfiguration genehmigt hat, kann ein Angreifer deren Verhalten unbemerkt \u00e4ndern. Von diesem Moment an k\u00f6nnen b\u00f6sartige Befehle jedes Mal ausgef\u00fchrt werden, wenn das jeweilige Projekt ohne weitere Aufforderungen oder Benachrichtigungen ge\u00f6ffnet wird.\u00a0Ein Angreifer kann in diesem Fall:<\/p>\n<ul>\n<li>eine harmlos aussehende MCP-Konfiguration zu einem freigegebenen Repository hinzuf\u00fcgen.<\/li>\n<li>warten, bis das Opfer den Code abruft und ihn einmal in Cursor IDE freigibt.<\/li>\n<li>die MCP-Konfiguration durch eine b\u00f6sartige Nutzlast ersetzen.<\/li>\n<li>jedes Mal, wenn das Opfer Cursor \u00f6ffnet, unbemerkt und dauerhaft Code ausf\u00fchren.<\/li>\n<\/ul>\n<p>In gemeinsam genutzten Programmierumgebungen verwandelt die Schwachstelle einen vertrauensw\u00fcrdigen MCP in einen versteckten, kontinuierlichen Angriffspunkt. F\u00fcr Unternehmen, die sich auf KI-Tools wie Cursor verlassen, hat dies schwerwiegende Folgen: unbemerkter, st\u00e4ndiger Zugriff auf Entwicklerrechner, Anmeldedaten und Code-Fundamente, ausgel\u00f6st durch eine einzige Genehmigung.<\/p>\n<h2>Auswirkungen in der realen Welt<\/h2>\n<p>Da in vielen Unternehmen Projekte \u00fcber Repositories gemeinsam genutzt und synchronisiert werden, bietet diese Schwachstelle Angreifern eine ideale M\u00f6glichkeit, langfristig und unbemerkt Fu\u00df zu fassen.<\/p>\n<ul>\n<li>Das macht die Schwachstelle gef\u00e4hrlich: Es gibt ein stilles Fortbestehen von b\u00f6sartigem Code- Jedes Mal, wenn ein Nutzer das Projekt \u00f6ffnet, wird (b\u00f6sartiger) Code ausgef\u00fchrt, ohne eine Benachrichtigung der Benutzer oder das Erfordern weiterer Genehmigungen. Das bedeutet, dass Angreifer auf unbestimmte Zeit Zugriff auf das Projekt erhalten k\u00f6nnen.<\/li>\n<li>Gro\u00dfe Angriffsfl\u00e4che: Jeder Entwickler mit Schreibzugriff auf ein gemeinsam genutztes Repository kann diese vertrauensw\u00fcrdige MCP-Konfiguration einspeisen und \u00e4ndern, wodurch ganze Teams und Organisationen gef\u00e4hrdet werden.<\/li>\n<li>Risiken der Privilegien-Eskalation: Auf den Rechnern von Entwicklern sind h\u00e4ufig sensible Anmeldedaten, Cloud-Zugangsschl\u00fcssel oder andere sensible Informationen lokal gespeichert. Ein Angreifer, der diese Schwachstelle ausnutzt, kann den Zugriff auf Unternehmensnetzwerke erweitern.<\/li>\n<li>Offenlegung von Daten und Code: Neben der direkten Ausf\u00fchrung von Code k\u00f6nnten Angreifer unbemerkt Quellcode, geistiges Eigentum oder interne Kommunikation aussp\u00e4hen.<\/li>\n<li>Vertrauen in KI-Tools wird untergraben: Da KI-Tools wie Cursor immer st\u00e4rker in die Software-Entwicklung integriert werden, muss ihr Sicherheitsmodell hieb- und stichfest sein. Diese Schwachstelle verdeutlicht die Gefahren von blindem Vertrauen in automatisierte Arbeitsabl\u00e4ufe.<\/li>\n<\/ul>\n<p>F\u00fcr Unternehmen, die sich auf Cursor und \u00e4hnliche KI-gest\u00fctzte IDEs verlassen, ist das Verst\u00e4ndnis und die Behebung dieser Schwachstelle entscheidend f\u00fcr den Schutz ihrer Entwicklungsumgebungen und sensiblen Ressourcen.<\/p>\n<p>Um Schwachstelle in KI-gest\u00fctzten Entwicklungsumgebungen zu entsch\u00e4rfen, empfiehlt CPR:<\/p>\n<ul>\n<li>MCP-Konfigurationsdateien als Angriffsfl\u00e4che behandeln: Genau wie der Quellcode sollten auch Automatisierungsskripte und MCP-Konfigurationsdefinitionen sorgf\u00e4ltig gepr\u00fcft, auditiert und \u00fcber Versionen kontrolliert werden.<\/li>\n<li>Implizites Vertrauen in KI-gesteuerte Automatisierungen vermeiden: Auch dann, wenn ein MCP oder ein Vorschlag harmlos aussieht, sollten Nutzer sicherstellen, dass alle Team-Mitglieder verstehen, was dieser tut, bevor man ihn genehmigt.<\/li>\n<li>Schreibrechte in kollaborativen Umgebungen einschr\u00e4nken: Sicherheitsverantwortliche sollten kontrollieren, wer vertrauensw\u00fcrdige Konfigurationsdateien \u00e4ndern darf, insbesondere in gemeinsam genutzten Repositories.<\/li>\n<\/ul>\n<p>\u201eKI-gest\u00fctzte Entwickler-Tools ver\u00e4ndern die Software-Entwicklung, schaffen aber auch neue Angriffsfl\u00e4chen, die das Vertrauen der Entwickler ausnutzen wollen\", so Oded Vanunu, Chief Technologist &amp; Head of Product Vulnerability Research bei Check Point Software Technologies: \u201eMCPoison zeigt, wie einfach Automatisierung und Komfort f\u00fcr heimliche, langfristige Ausbeutung in kollaborativen Programmierumgebungen missbraucht werden k\u00f6nnen.\"<\/p>\n<h2>Verantwortungsvolle Offenlegung und Entsch\u00e4rfung<\/h2>\n<p>Nach der Entdeckung dieser Schwachstelle hat Check Point Research das Cursor-Entwickler-Team am 16. Juli 2025 verantwortungsbewusst \u00fcber das Problem informiert. Cursor ver\u00f6ffentlichte am 30. Juli 2025 einen Fix.<\/p>\n<p>Weitere Informationen finden sich im Beitrag <a href=\"https:\/\/blog.checkpoint.com\/research\/cursor-ide-persistent-code-execution-via-mcp-trust-bypass\/\" target=\"_blank\" rel=\"noopener\">Cursor IDE: Persistent Code Execution via MCP Trust Bypass<\/a> im CPR-Blog.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Sicherheitsforscher von Check Point haben eine schwerwiegende Sicherheitsl\u00fccke im KI-Entwickler-Tool Cursor gefunden. Die von Check Point als MCPoison bezeichnete Schwachstelle (CVE-2025-54136) erm\u00f6glicht Angreifern \u00fcber das MCP-System von Cursor, sch\u00e4dlichen Code in die Projekte der Nutzer einzuschleusen. Das ist ein Paradebeispiel &hellip; <a href=\"https:\/\/borncity.com\/blog\/2025\/08\/06\/kritische-schwachstelle-in-ki-basiertem-coding-tool-cursor\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8625,426,7459],"tags":[24,4328,3836],"class_list":["post-314266","post","type-post","status-publish","format-standard","hentry","category-ai","category-sicherheit","category-software","tag-problem","tag-sicherheit","tag-software"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/314266","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=314266"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/314266\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=314266"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=314266"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=314266"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}