무슨 일이 있었나
Claude Code 및 Codex를 위한 에이전트 메타 하니스인 Ruflo는 기본 docker-compose 배포와 함께 제공되었으며, 인증 없이 MCP 브릿지의 POST /mcp 및 POST /mcp/:group 엔드포인트를 노출했습니다. 인증되지 않은 네트워크 공격자가 terminal_execute에 대한 도구/호출을 호출하여 브릿지 컨테이너 내에서 임의의 OS 명령을 실행하고, API 키 도용, 에이전트 학습 저장소(AgentDB) 중독, 측면 네트워크 이동을 가능하게 할 수 있습니다. v3.16.3에서 수정되었으며, 기본적으로 브릿지를 127.0.0.1로 바인딩하고, 공개 바인딩에 MCP_AUTH_TOKEN이 필요하고, 상수 시간 비교로 베어러 인증을 추가하고, 터미널 실행을 MCP_ENABLE_TERMINAL=true 뒤로 게이트하고, 브릿지 파일 시스템을 읽기 전용으로 만들고, MongoDB 인증을 요구합니다.
왜 중요한가
이것은 가장 인기 있는 두 가지 코딩 에이전트 에코시스템(Claude Code, Codex/OpenAI)을 연결하는 광범위하게 참조되는 에이전트 메타 하니스에서 최대 심각도(CVSS 10.0), 영 인증 원격 코드 실행 취약점입니다. 기본 배포 구성이 이를 공개적으로 노출했으므로, 노출된 모든 인스턴스가 전체 컨테이너 손상, 자격증명 도용 및 에이전트 메모리 중독에 대해 평범하게 악용 가능했습니다.
공격 경로
terminal_execute 도구를 호출하여 임의의 OS 명령을 실행하는 노출된 /mcp 또는 /mcp/:group MCP 브릿지 엔드포인트로 인증되지 않은 POST 요청
영향받는 시스템
Ruflo (Claude Code/Codex용 에이전트 메타 하니스) < 3.16.3
완화 방안
Ruflo ≥3.16.3로 업그레이드하고, MCP 브릿지를 localhost에 바인딩하고, 필요한 경우에만 MCP_AUTH_TOKEN 및 MCP_ENABLE_TERMINAL을 설정하고, MongoDB 인증을 활성화합니다.