무슨 일이 있었나
AWS가 공개한 보안 공지(security bulletin 2026-070-AWS, 2026년 08월 03일 발행)에 따르면 Amazon MQ MCP Server의 RabbitMQ broker 연결 도구에 부적절한 엔드포인트 제한이 있어서, 원격 비인증 행위자가 prompt injection을 통해 broker 자격증명 또는 OAuth 토큰을 공격자 제어 엔드포인트로 유출할 수 있습니다.
왜 중요한가
이는 새로운 MCP 자격증명-유출-via-prompt-injection 패턴의 또 다른 사례입니다: MCP tool 접근이 있는 AI 어시스턴트가 enterprise 메시지 브로커로 트릭 당해 라이브 자격증명을 공격자에게 유출하여 프로덕션 메시징 인프라로의 수평 이동을 가능하게 합니다.
공격 경로
RabbitMQ broker 연결 도구(rabbitmq_broker_initialize_connection / _with_oauth)는 MCP 클라이언트 컨텍스트를 통해 LLM이 제어 가능한 broker_hostname 인자를 받습니다. 공격자 제어 엔드포인트를 가리키는 prompt 주입 호스트명은 서버가 정상 broker 대신 그 엔드포인트로 Amazon MQ RabbitMQ broker 자격증명 또는 OAuth 접근 토큰을 보내도록 합니다.
영향받는 시스템
awslabs.amazon-mq-mcp-server (Amazon MQ MCP Server) <= 2.0.23
완화 방안
awslabs.amazon-mq-mcp-server 2.0.24+로 업그레이드하십시오. 패치될 때까지 영향받는 도구에서 자동 승인을 비활성화하여 사용자가 실행 전 broker_hostname을 시각적으로 검사하도록 하십시오.