Sicherheit · Open Source
BadHost: Eine Lücke im Fundament von FastAPI setzt Millionen KI-Agenten dem Auth-Bypass aus
Die Schwachstelle trägt den Namen BadHost (CVE-2026-48710) und steckt an einer denkbar unscheinbaren Stelle: in Starlette, einem asynchronen Web-Framework für Python. Starlette ist für sich genommen kaum bekannt — aber es ist das Routing-Fundament von FastAPI und damit nach Angaben der beteiligten Sicherheitsforscher Teil eines Ökosystems mit rund 325 Millionen Downloads pro Woche und über 400.000 abhängigen Projekten auf GitHub. Wer in den vergangenen Jahren einen KI-Dienst in Python gebaut hat, hat mit hoher Wahrscheinlichkeit Starlette im Stack, ohne es zu wissen.
Technisch handelt es sich um einen Authentifizierungs-Bypass über den Host-Header. Starlette rekonstruiert die angefragte URL, indem es den vom Angreifer frei wählbaren HTTP-Host-Header mit dem Anfragepfad zusammensetzt und das Ergebnis erneut parst. Schleust man Zeichen wie /, ? oder # in den Host-Header ein, verschieben sich die Pfadgrenzen — ein einziges eingeschleustes Zeichen kann genügen, um eine pfadbasierte Auth-Middleware auszuhebeln und auf eigentlich geschützte Endpunkte zuzugreifen. Im Worst Case stehen damit Modellzugriff, API-Schlüssel und internes Tooling offen.
Besonders brisant ist die Wirkung auf KI-Infrastruktur. Explizit als gefährdet genannt werden der Inferenzserver vLLM, der LLM-Proxy LiteLLM sowie MCP-Server und -Gateways — also genau jene Komponenten, über die autonome Agenten heute Werkzeuge und Datenquellen ansprechen. Verschärfend kommt hinzu: Die MCP-Spezifikation schreibt unauthentifizierte OAuth-Discovery-Endpunkte vor. Das liefert Angreifern einen verlässlichen Einstiegspunkt — und erklärt die Schlagzeile von den „Millionen gefährdeter KI-Agenten“.
Entdeckt wurde die Lücke bei einem von der Stiftung OSTIF organisierten Sicherheitsaudit des vLLM-Projekts; ein Senior-Analyst des Berliner Dienstleisters X41 D-Sec fand sie in manueller Analyse. Bemerkenswert ist der Streit um die Schwere: Offiziell wurde BadHost mit einem CVSS-Score von 6,5 („mittel“) eingestuft und vom Maintainer als reines Web-Framework-Problem gerahmt. Die Entdecker widersprechen ausdrücklich — angesichts „tausender abhängiger Projekte und Milliarden Installationen“ untertreibe dieser Wert die tatsächliche Tragweite massiv. Den Maintainer (den Entwickler Marcelo „Kludex“ Trylesinski) beschreibt OSTIF zugleich als überlastet von der Flut an Sicherheitsmeldungen, die 2026 nahezu jedes große Open-Source-Projekt trifft.
Der Patch liegt mit Starlette 1.0.1 vor — Veröffentlichung der Lücke und Verfügbarkeit des Fixes fielen jedoch auf denselben Tag. Das bedeutet praktisch keine Vorlaufzeit zwischen Offenlegung und möglicher Exploit-Entwicklung; Betreiber sollten umgehend aktualisieren. Eine aktive Ausnutzung in freier Wildbahn ist bislang nicht belegt — die Warnung lautet ausdrücklich „assume zero exploit development lead time“, nicht „wurde bereits ausgenutzt“. Für Entscheider ist die eigentliche Lehre struktureller Natur: Die moderne KI-Stack-Monokultur ruht auf wenigen Low-Level-Bibliotheken. Ein Auth-Bypass im Fundament hat einen enormen Radius — und macht das oft unsichtbare Lieferketten-Risiko von KI-Infrastruktur greifbar.