Apa yang terjadi
Autentikasi bearer di sisi server yang dikonfigurasi melalui AuthSettings dengan token_verifier gagal memverifikasi bahwa audiens token yang disajikan cocok dengan sumber daya server MCP, sehingga kredensial yang dibuat untuk pihak lain diterima. Ini adalah cacat kebingungan sumber daya lintas layanan / konsistensi otorisasi (CWE-863, CVSS 6.8).
Mengapa penting
MCP adalah transport standar agen-alat; cacat kebingungan token memungkinkan pemegang token mengautentikasi ke server MCP yang tidak pernah mereka otorisasi dan menggunakan akses alat sesi tersebut — jalur bagi agen yang di-inject prompt atau yang memiliki hak istimewa untuk mencapai alat MCP di luar izin mereka.
Vektor serangan
Ketika server otorisasi melayani beberapa sumber daya dan TokenVerifier tidak memvalidasi klaim aud secara independen, token valid yang diterbitkan untuk satu layanan diterima untuk mengautentikasi ke server MCP yang berbeda, sehingga pemegang token dapat menggunakan akses token tersebut di server yang salah.
Sistem yang terdampak
SDK Python MCP >= 1.10.0, < 1.30.0 dan >= 2.0.0, < 2.2.0
Mitigasi
Tingkatkan ke SDK Python MCP 1.30.0 atau 2.2.0 (GHSA-w4fh-qvv9-3v23); pastikan token_verifier memvalidasi audiens/sumber daya terhadap server MCP spesifik.