Apa yang terjadi
CWE-306 missing authentication untuk fungsi kritis. Pemanggil jarak jauh yang tidak terautentikasi dapat menggerakkan alat server MCP di bawah kredensial Dynatrace operator, terutama execute_dql untuk membaca data observabilitas/keamanan Grail. CVSS 7.5.
Mengapa penting
Klik '--http' pada server MCP observabilitas dan Anda mengekspos akses baca ke data keamanan/observabilitas Dynatrace yang diberikan kepada agen AI — jalur yang dapat dijangkau jaringan ke telemetri sensitif yang sama yang digunakan agen, tanpa autentikasi.
Vektor serangan
Server yang dimulai dengan --http menerima permintaan JSON-RPC tools/call tanpa autentikasi, validasi sesi, atau perlindungan Host/Origin, lalu mengirimkannya di bawah kredensial Dynatrace yang dikonfigurasi server. Pemanggil yang dapat dijangkau jaringan memanggil execute_dql untuk membaca log/kejadian keamanan/sesi pengguna atau create_dynatrace_notebook.
Sistem yang terdampak
dynatrace-oss dynatrace-mcp < 2.0.0
Mitigasi
Tingkatkan ke dynatrace-mcp 2.0.0 (GHSA-p7w7-4929-vpj5).