CVE-2026-108714

WysokieCVSS 7.5

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

MCP Kotlin SDK do wersji 0.15.0 zawiera podatność niekontrolowanej alokacji pamięci, która pozwala zdalnym klientom wyczerpać pamięć serwera, ponieważ Application.mcpWebSocket instaluje Ktor WebSockets bez limitu maxFrameSize. Atakujący mogą wysyłać małe nagłówki ramek deklarujące ładunki blisko 2 GiB przez jedno lub kilka połączeń, wymuszając ogromne alokacje sterty i powodując odmowę usługi.

Ocena ryzyka

Organizacja naraża się na atak odmowy usługi (DoS) przez zdalnych klientów, którzy mogą wyczerpać pamięć serwera i uniemożliwić jego działanie. Może to prowadzić do niedostępności usług i przerw w działalności.

Rekomendacja

Zaktualizuj MCP Kotlin SDK do wersji nowszej niż 0.15.0, jeśli jest dostępna, oraz skonfiguruj limit maxFrameSize dla WebSockets. Rozważ ograniczenie liczby połączeń i monitorowanie zużycia pamięci.

Inne podatności w MCP Kotlin SDK

CVE-2026-53937Średnie
MCP Kotlin SDK w wersjach od 0.7.0 do 0.12.0 ma nieograniczony wzrost bufora w funkcji ReadBuffer.append, co pozwala zdalnemu atakującemu na wyczerpanie pamięci (OOM) i awarię procesu. Problem występuje w transporcie stdio, gdzie dane są buforowane bez limitu rozmiaru.

Oryginalny opis (angielski, źródło NVD)

MCP Kotlin SDK through 0.15.0 contains an uncontrolled memory allocation vulnerability that allows remote clients to exhaust server memory because Application.mcpWebSocket installs Ktor WebSockets without a maxFrameSize limit. Attackers can send small frame headers declaring payloads near 2 GiB over one or a few connections, forcing huge heap allocations and causing denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS