Apa yang terjadi
IBM ContextForge MCP Gateway 0.1.0 hingga 1.0.5 tidak memvalidasi oauth_config.token_url selama pendaftaran gateway yang mendukung OAuth. Pengguna terautentikasi dengan hak istimewa pembuatan gateway dapat memasok token_url jahat yang menunjuk ke layanan internal, endpoint metadata cloud (AWS IMDSv1, GCP, Azure), atau localhost. Aplikasi segera POST kredensial berformat formulir ke URL tersebut, dan hingga 256 karakter respons dipantulkan kembali dalam HTTP 502 — melewati perlindungan SSRF yang diterapkan pada gateway.url tetapi tidak pada konfigurasi OAuth.
Mengapa penting
Dalam gateway MCP, operator mengontrol alat pihak ketiga mana yang dapat dijangkau agen; token_url palsu memungkinkan pembuat gateway berhak rendah membaca metadata instance cloud (kredensial IAM) atau memukul layanan internal menggunakan kredensial gateway itu sendiri, lalu mengeksfiltrasi respons yang dipantulkan. Ini adalah jalur kredensial/SSRF konkret di infrastruktur MCP perusahaan.
Vektor serangan
Pendaftaran gateway terautentikasi memasok oauth_config.token_url jahat yang memaksa POST keluar dan memantulkan sebagian respons
Sistem yang terdampak
IBM ContextForge MCP Gateway 0.1.0 hingga 1.0.5
Mitigasi
Ikuti advisory IBM (ibm.com/support/pages/node/7285723); validasi/allow-list OAuth token_url dan blokir endpoint privat/loopback/metadata