GHSA-cr22-wjy7-2w6m: mcp-server-kubernetes Tool Access Control Bypass (RCE via tools/call)

漏洞概述 漏洞名称: Tool Access Control Bypass: Presentation-Layer Filtering Without Execution-Layer Enforcement 漏洞编号: GHSA-cr22-wjy7-2w6m 严重程度: High (8.8 / 10) CVSS v3 基础指标: - 攻击向量: Network - 攻击复杂度: Low - 所需权限: Low - 用户交互: None - 范围: Unchanged - 机密性: High - 完整性: High - 可用性: High 受影响版本: = 3.6.0 发布日期: 2025-06-15 描述 暴露了三个环境变量 ( , , ) 作为访问控制，用于限制可用的 Kubernetes 操作。这些控制仅在工具发现层 ( ) 强制执行，而在执行层 ( ) 未强制执行。任何知道工具名称的客户端都可以绕过配置的访问控制模式。该访问控制实际上是装饰性的。 影响 攻击者或配置错误的 AI 代理，如果具有对 MCP 服务器 HTTP 端点的网络访问权限，可以调用任何 Kubernetes 工具，无论操作员配置的访问控制模式如何（包括 、 、 和 ）。 项目明确支持并记录了多客户端 HTTP 部署场景（流式 HTTP 和 SSE 传输、集群内部署、Codes CLI 和 Gemini CLI 集成）。在这些部署中，操作员依赖工具限制环境变量来强制执行跨用户或角色的最小权限访问。此绕过使该模型完全无效。 严重程度与 Kubernetes 服务账户的权限成比例。在 MCP 服务器以 运行的环境中（在开发中很常见），这等效于任何可以访问端点的客户端的整个集群被完全控制。 / 机制控制谁可以访问端点，但不提供每工具授权。经过身份验证的客户端，即使被限制为 ，仍可在经过身份验证后调用 。 根本原因 在 中， 处理程序在返回可用工具之前应用了配置的过滤逻辑。 处理程序直接按工具名称分派，没有等效的检查——每个工具都可以无条件访问。 概念验证 (POC) 在三种限制模式下的真实 Kubernetes 集群上进行了测试。在每种情况下， 都从 中缺失，但通过直接的 请求成功执行。 结果: 在 、 和 的情况下确认。 修复方案 修复程序在 处理程序的开头应用了与 相同的过滤逻辑，为活动允许集之外的任何工具调用返回错误。在 v3.6.0 中修复。 信用 由 Francisco Rosales 发现，Manifold Security 协调，由 Ar Sharma，Manifold Security 研究主管协调。

目標達成すべての支援者に感謝 — 100%達成しました！

GHSA-cr22-wjy7-2w6m: mcp-server-kubernetes Tool Access Control Bypass (RCE via tools/call)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

GHSA-cr22-wjy7-2w6m: mcp-server-kubernetes Tool Access Control Bypass (RCE via tools/call)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！