무슨 일이 있었나
Obsidian vault를 AI 에이전트에 노출하는 원격 MCP 서버인 Obsidian Web MCP는 인증을 완전히 건너뛰는 OAuth 구현을 제공했으며, 모든 네트워크 클라이언트가 연결된 LLM 에이전트에서 사용하는 정적 vault 액세스 토큰을 얻을 수 있도록 허용했습니다.
왜 중요한가
이는 AI 에이전트 액세스를 개인 지식 vault로 중개하는 MCP 서버에 대한 완전한 인증 우회입니다; 공격자는 권한 있는 에이전트가 가질 수 있는 동일한 도구 액세스를 얻으며, vault 내용 읽기/쓰기를 포함하여 에이전트 대면 도구 엔드포인트 주변 끊어진 인증을 제공하는 MCP 서버의 광범위한 패턴을 보여줍니다.
공격 경로
/oauth/authorize 엔드포인트는 로그인, 동의 또는 세션 확인 없이 유효한 인증 코드를 발급합니다; /oauth/token은 요청 클라이언트를 인증하지 않고 해당 코드를 서버의 정적 VAULT_MCP_TOKEN과 교환하며, 모든 미인증 원격 당사자가 vault에 대한 MCP 액세스를 부여하는 토큰을 발행할 수 있도록 허용합니다.
영향받는 시스템
Obsidian Web MCP < 0.2.0
완화 방안
Obsidian Web MCP 0.2.0 이상으로 업그레이드합니다.