何が起きたか
エージェント統合用の独自MCPサーバーを搭載するアイデンティティプラットフォームであるCasdoorに、/api/mcpエンドポイントに認可バイパスの欠陥があります。有効なアプリケーション認証情報ペアは、そのアプリケーション独自のユーザーにスコープ制限されるのではなく、インスタンス上のあらゆるテナント/組織全体のユーザーレコードへの制限のない管理アクセスを許可します。
なぜ重要か
Casdoorは集約SSO/IAMレイヤーとして使用され、MCPベースのエージェントアクセスをますます前面に置いています。ここでのバイパスは単にあるテナントからデータを漏らすだけではなく、最小限で容易に入手可能な認証情報を持つ攻撃者にインスタンス上のあらゆる組織に対する完全な管理者制御(パスワードデータを含む)を与え、Casdoorをアイデンティティに頼るAIエージェントエコシステムの単一の破滅的なマルチテナント侵害ポイントにします。
攻撃経路
/api/mcpエンドポイントは呼び出し元アプリケーションへの認可を適切にスコープしません。低権限またはセルフサービス登録されたアプリケーションを含む、単一のアプリケーション's clientIdおよびclientSecretを保有する攻撃者は、MCPインターフェース を使用してテナント全体のすべての組織にわたる無制限のユーザー管理アクセスを取得できます。これにはパスワード/認証情報資料を含むユーザーレコードの列挙が含まれます。
影響を受けるシステム
Casdoor(4.4.0まで) — AIネイティブなアイデンティティおよびアクセス管理(IAM)/SSOプラットフォーム(組み込みMCPサーバー付き)
緩和策
修正されたCasdoorリリースが利用可能になったら、影響を受けた4.4.0ベースラインを超えてアップグレードしてください。その間、/api/mcpを呼び出すことができるアプリケーションを制限し、すべてのclientId/clientSecretペアを意図しない管理スコープについて監査してください。