Apa yang terjadi
Endpoint manajemen /api/servers/* mengautentikasi pemanggil tetapi tidak menegakkan otorisasi berbasis peran/izin. Impor grup yang dirancang dapat memetakan grup penyedia identitas pemanggil ke lingkup administrator registry, memberikan kontrol administratif penuh atas setiap aset gateway yang terdaftar — termasuk membaca kredensial auth yang tersimpan dan header kustom yang didekripsi saat dibaca melalui rute yang dapat dijangkau admin.
Mengapa penting
Registry adalah titik kontrol pusat untuk aset alat MCP dan kredensialnya. Eskalasi ke admin menghasilkan baca/tulis setiap server MCP yang terdaftar, modifikasi URL upstream (jalur ke SSRF/gerakan lateral), dan ekstraksi rahasia autentikasi yang dikelola registry — target bernilai tinggi dalam arsitektur agen berbasis MCP.
Vektor serangan
Pengguna berhak rendah yang terautentikasi mengirimkan permintaan impor grup yang dirancang ke POST /api/servers/groups/import yang memetakan grup penyedia identitas mereka ke lingkup mcp-registry-admin (atau memberikan izin UI yang bermutasi kepada semua). Karena status administrator diturunkan per permintaan, eskalasi berlaku pada permintaan berikutnya tanpa autentikasi ulang.
Sistem yang terdampak
Amazon mcp-gateway-registry >= 1.0.9 DAN <= 1.24.7 (diperbaiki di 1.25.0)
Mitigasi
Tingkatkan ke mcp-gateway-registry 1.25.0+, lalu audit koleksi DocumentDB mcp_scopes untuk group_mappings yang menunjuk ke mcp-registry-admin (atau ui_permissions yang memberikan tindakan bermutasi kepada semua) dan hapus izin yang tidak disengaja; tinjau log HTTP untuk POST /api/servers/groups/import dari akun non-admin; rotasi kredensial yang dikelola registry; verifikasi server/agen/URL upstream yang terdaftar. Sementara: batasi rute mutasi /api/servers/* ke identitas admin tepercaya di ingress.