Powierzchnia ataku MCP to transport, nie protokół

Dziesięć dni advisory, a najbardziej rzuca się w oczy to, czego w nich nie ma. Prawie żadne nie opisuje błędu w samym Model Context Protocol. Opisują kod, który go przenosi: transporty, nakładki, serwery napisane w jedno popołudnie, żeby wystawić narzędzie agentowi.

Lista dozwolonych i powłoka znów się rozjechały

Najgorszy z nich to czyste nieuwierzytelnione wykonanie kodu, a mechanizm warto przeczytać powoli. Funkcja walidująca sprawdzała nazwę pliku wykonywalnego wobec listy dozwolonych. Nie zaglądała do argumentów. Argumenty poszły dalej, bez zmian, do tego, co uruchamia podproces.

Więc lista mówi tak dozwolonemu binarium, a to dozwolone binarium jest akurat takim, które wykona dowolny napis, jaki mu podasz. Nic nie zostało obejście. Sprawdzenie zrobiło dokładnie to, co miało zrobić, tylko na innym obiekcie niż ten, który miał znaczenie.

To samo zdanie napisaliśmy kilka dni temu o trzech agentach do kodowania: walidacja oglądająca polecenie jako zwykły napis rozjeżdża się z powłoką, która je wykonuje. To jest ta sama porażka z naklejką MCP.

To transporty są powierzchnią

Dwa kolejne z tego samego projektu robią ten wzorzec jawnym. Endpoint dla transportów SSE i streamable-HTTP brał URL i słownik nagłówków wprost od wywołującego i wykonywał żądanie. Atakujący ustawia Authorization albo Cookie i sięga do usług wewnętrznych z doklejonymi poświadczeniami. Odpowiedzi nie wracają, więc to atak w ciemno, a w ciemno wystarczy, kiedy samo żądanie zmienia stan.

Gdzie indziej serwer w Go wystawia nasłuch Streamable HTTP na localhoście, pomija uwierzytelnianie, gdy zmienna z tokenem jest nieustawiona, i nie waliduje ani Host, ani Origin. Powiązanie z localhostem sprawia wrażenie granicy. Nie jest nią, bo przeglądarka na tej samej maszynie chętnie wyśle żądanie za atakującego, a bez sprawdzenia Origin serwer nie odróżni jednego od drugiego.

Nic z tego nie jest wadą protokołu. Specyfikacja nikomu nie każe ufać URL-owi podanemu przez wywołującego i nie twierdzi, że interfejs pętli zwrotnej jest mechanizmem uwierzytelniania. Błędy siedzą w hydraulice, która nim mówi, czyli w tej części, którą każdy pisze sam.

Łącznie z oficjalnym SDK

Najcichszy, a najbardziej pouczający przypadek jest w oficjalnym SDK, a nie w czyimś projekcie na boku. Jego klient HTTP czyta strumień zdarzeń i dokleja każdy fragment do bufora, który opróżnia się dopiero po nadejściu separatora. Serwer, który nigdy nie wyśle separatora, nie robi nic nielegalnego, po prostu nigdy nie kończy zdania. Klient słucha dalej, a bufor rośnie.

To nie jest sprytny exploit. To parser napisany pod współpracującego rozmówcę, wypuszczony do świata, w którym rozmówcę wybiera ten, kto skonfigurował agenta.

Prompt injection ma już CVE i dwie różne oceny

Ostatni przypadek znaczy więcej niż jego własny produkt. Zatrute instrukcje, dostarczone przez legalną funkcję i podane przez MCP, posłużyły do wyciągnięcia z agenta poświadczeń ze środowiska. Ma identyfikator, advisory i poprawkę, co jest postępem.

Ma też dwie oceny podstawowe, od tego samego oceniającego, dla tej samej wady:

CVSS 3.1  ->  9.0  CRITICAL
CVSS 4.0  ->  6.4  MEDIUM

Ta różnica to nie niechlujstwo. To nowszy standard robiący coś, czego starszy nie potrafi: oddziela to, co dzieje się z systemem podatnym, od tego, co dzieje się ze wszystkim za nim. Przy prompt injection system podatny jest ledwo draśnięty. Cała szkoda ląduje na systemach, do których agent sięga w następnym kroku.

W starszym standardzie ta szkoda nie ma gdzie pójść poza oceną podstawową, więc wychodzi Critical. W nowszym przenosi się do własnych kolumn i liczba w nagłówku spada o ponad dwa i pół punktu. Żadna z nich nie jest błędna, i na tym polega problem: zespół triażujący po samej ocenie potraktuje to samo znalezisko jako alarm albo jako pozycję w backlogu, zależnie od tego, który standard raportuje jego narzędzie.

Co z tym zrobić

• Zaktualizuj wymienione wersje z kroniki poniżej i najpierw sprawdź, czy MCP jest u Ciebie w ogóle włączone, zanim uznasz się za podatnego.
• Traktuj każdy serwer MCP jak niezaufanego rozmówcę. Ograniczaj bufory, ustawiaj limity czasu na strumienie i nigdy nie pozwól wywołującemu wybrać URL-a, który pobierzesz, ani nagłówków, które doklejasz.
• Localhost to nie uwierzytelnianie. Waliduj Host i Origin na każdym lokalnym nasłuchu, z którym rozmawia agent, bo inaczej przeglądarka gdzie indziej na tej maszynie przemówi za atakującego.
• Nie triażuj znalezisk agentowych po samej ocenie podstawowej. Pytaj, dokąd agent sięga, bo tam ląduje realny wpływ, a tego właśnie starsza ocena nie potrafi wyrazić.