🔥 CVE-2026-5029 — Code Runner MCP Server RCE

Nicht authentifizierte Remote-Codeausführung über das run-code MCP-Tool

Python Status License

Proof-of-Concept-Exploit für CVE-2026-5029 — eine kritische, nicht authentifizierte Remote-Codeausführungs-Schwachstelle im Code Runner MCP Server, ausgelöst über das run-code MCP-Tool, wenn der Server mit --transport http ausgeführt wird.

📋 Schwachstellenübersicht

🧠 Technische Beschreibung

Code Runner MCP Server legt bei Start mit dem Flag --transport http einen JSON-RPC-Endpunkt /mcp auf Port 3088 offen. Dieser Endpunkt ist ohne jegliche Authentifizierung erreichbar — kein API-Schlüssel, kein Sitzungstoken, keine Origin-Prüfung.

Jeder nicht authentifizierte Angreifer, der den Port erreichen kann, kann direkt das run-code-MCP-Tool aufrufen, das beliebigen Quellcode und eine Sprachkennung akzeptiert, in eine temporäre Datei schreibt und ihn über child_process.exec() mit dem entsprechenden Interpreter (bash, python, powershell und 30+ weitere) ausführt.

Da in keiner Phase eine Bereinigung des Parameters code erfolgt, führt dies zu vollständiger, nicht authentifizierter Remote-Codeausführung mit den Rechten des Prozesses, der den MCP-Server ausführt.

Fallstudie

https://medium.com/@phantom_hat/cve-2026-5029-unpatched-case-study-unauthenticated-remote-code-execution-rce-66c7706f2320

Angriffsablauf

┌──────────┐   JSON-RPC tools/call    ┌───────────────────────┐   exec()   ┌──────────┐
│ Attacker │ ──── run-code tool ─────▶│  /mcp  (port 3088)    │ ─────────▶ │   RCE    │
│          │    (no auth needed)      │  Code Runner MCP      │            │  on Host │
└──────────┘                          └───────────────────────┘            └──────────┘

1. Aufklärung — Mit dem offengelegten /mcp-Endpunkt verbinden und verfügbare MCP-Tools aufzählen
2. Schemaerkennung — Das Eingabeschema des run-code-Tools (code, languageId) abrufen
3. Exploit-Zustellung — Eine manipulierte tools/call-JSON-RPC-Anfrage mit Angreifer-kontrolliertem code senden
4. Befehlsausführung — Der Server schreibt code in eine temporäre Datei und führt ihn über den ausgewählten Interpreter aus

🗂️ Repository-Struktur

.
├── exploit.py           # 🎯 Interaktive RCE-Exploit-Shell (Rich-basierte Terminal-UI)
└── README.md            # 📖 Du bist hier

exploit.py — Interaktiver Exploit

Das primäre Exploit-Skript, entwickelt für den professionellen Einsatz in Sicherheitsbewertungen und Fallstudien. Es verbindet sich mit dem Ziel-MCP-Server und wechselt in eine interaktive Shell, in der jeder Befehl live über das verwundbare run-code-Tool ausgeführt wird.

Zu den Funktionen gehören:

• Saubere, strukturierte Terminalausgabe mit Rich
• Interaktive Exploit-Shell — Befehle eingeben, Ausgabe erhalten, hin und her, ohne das Skript erneut auszuführen
• Sprachen-Enumeration — alle Sprachen auflisten, für die der MCP-Server Unterstützung bewirbt
• Prüfung installierter Sprachen — ermittelt, welche Interpreter tatsächlich auf dem Zielsystem vorhanden sind
• Wählbare Ausführungssprache über -l (Standard: shellscript)
• Ausführlicher Modus für detaillierte Betriebsausgaben

⚙️ Installation

Voraussetzungen

• Python 3.8+
• pip-Paketmanager

Einrichtung

# Repository klonen
git clone https://github.com/0x00phantom-hat/CVE-2026-5029-Exploit.git
cd CVE-2026-5029-RCE-Exploit

# Abhängigkeiten installieren
pip install fastmcp rich

🚀 Verwendung

# In eine interaktive RCE-Shell wechseln (Standard: shellscript)
python3 exploit.py -u http://TARGET:3088/mcp

# Einen bestimmten Sprachinterpreter verwenden
python3 exploit.py -u http://TARGET:3088/mcp -l python

# Alle Sprachen auflisten, für die der MCP-Server Unterstützung bewirbt
python3 exploit.py -u http://TARGET:3088/mcp --available

# Prüfen, welche Sprachlaufzeiten tatsächlich auf dem Ziel installiert sind
python3 exploit.py -u http://TARGET:3088/mcp --installed -v

# Hilfemenü anzeigen
python3 exploit.py -h

Nach der Verbindung wechselt der Exploit in eine interaktive Eingabeaufforderung:

PhantomHat-MCP@Exploit-CVE-2026-5029 $ id

Gib exit ein, um die Sitzung zu beenden.

Befehlszeilenoptionen

📸 Exploit-Phasen

🔗 Referenzen

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-5029
• CERT.PL-Sicherheitshinweis: https://cert.pl/en/posts/2026/05/CVE-2026-5029
• Verwundbares Projekt: https://github.com/formulahendry/mcp-server-code-runner
• Verwundbarer Sink (server.ts): https://github.com/formulahendry/mcp-server-code-runner/blob/main/src/server.ts

🛡️ Gegenmaßnahmen

• --transport http nicht auf einer netzwerkerreichbaren Schnittstelle ausführen — beim Standardtransport stdio bleiben
• Falls HTTP-Transport erforderlich ist, strikt an 127.0.0.1 binden und hinter einen authentifizierten Reverse-Proxy oder ein VPN setzen
• Port 3088 auf Host- oder Netzwerkebene per Firewall blockieren
• Den Server als Benutzer mit geringen Rechten oder in einem abgesicherten Container ausführen
• Überwachen auf unerwartete run-code-Aufrufe und ungewöhnliche Kindprozesse

⚠️ Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitstests und zu Bildungszwecken bereitgestellt.

Unautorisierter Zugriff auf Computersysteme ist nach Gesetzen wie dem Computer Fraud and Abuse Act (CFAA), dem Computer Misuse Act und ähnlichen Gesetzen weltweit illegal. Der Autor übernimmt keine Haftung für Missbrauch dieser Software.

Verwende dieses Tool nur gegen Systeme, die dir gehören oder für die du eine ausdrückliche schriftliche Genehmigung zum Testen hast.

Autor: Phantom Hat

Nur für autorisierte Penetrationstests und Sicherheitsforschung.