Podatności rmcp

Przed wersją 2.1.0, klient StreamableHttpClientTransport w crate'cie rmcp używa polityki automatycznego przekierowania reqwest i stosuje niestandardowe nagłówki bez oznaczenia ich jako wrażliwe. Gdy złośliwy lub skompromitowany punkt końcowy MCP zwraca przekierowanie 307 lub 308 z innego origin, reqwest podąża za nim i odtwarza klucze API lub tokeny uwierzytelniające na nowym origin, gdzie atakujący może je przechwycić.

RMCP przed wersją 2.0.0 w stateful Streamable HTTP server pozwala nieuwierzytelnionemu klientowi wysłać poprawne JSON-RPC POST, które nie jest żądaniem inicjalizacji, lub żądanie inicjalizacji z niezgodnym nagłówkiem protokołu, powodując wywołanie LocalSessionManager.create_session przed walidacją wiadomości. Błąd walidacji zwraca wynik bez usunięcia LocalSessionHandle z sesji, trwale zatrzymując stan sesji i kanału przez cały czas życia procesu serwera.

RMCP przed wersją 2.0.0 w implementacji OAuth pomija pole resource z RFC 9728 w ResourceServerMetadata i pozwala discover_oauth_server_via_resource_metadata używać metadanych chronionego zasobu bez potwierdzenia, że zwrócony identyfikator zasobu dokładnie odpowiada skonfigurowanemu serwerowi MCP. Złośliwy serwer MCP może opublikować metadane dla innego legalnego zasobu MCP i jego serwera autoryzacji, powodując, że ofiara uzyskuje legalny token dostępu, który następnie wysyła do złośliwego serwera.