무슨 일이 있었나
DBHub < 0.22.6에서 execute_sql 도구에 readonly=true를 설정해도 연결이 읽기 전용이 되지 않습니다: PostgreSQL default_transaction_read_only 및 SQLite readOnly 모드를 설정하는 코드는 채워지지 않는 구성 값에 의해 게이트되므로 키워드 분류기만 남습니다. 권한 있는 역할은 부작용이 있는 SELECT를 사용하여 임의 파일 쓰기(lo_export), 임의 호스트 파일 읽기(pg_read_file) 및 RCE(dblink + COPY ... TO PROGRAM)를 달성할 수 있습니다. HTTP 전송은 인증되지 않으며 기본적으로 0.0.0.0에 바인딩됩니다. 0.22.6에서 수정되었습니다.
왜 중요한가
방어자가 데이터베이스의 AI 에이전트에 의존하는 읽기 전용 격리 약속이 조용히 깨졌으며, 인증되지 않은 모든 인터페이스 HTTP 전송과 결합되어 /mcp의 모든 네트워크 호출자가 AI 에이전트의 데이터 접근을 지원하는 DB 서버에서 호스트 파일 읽기/쓰기 및 명령 실행으로 에스컬레이션할 수 있습니다.
공격 경로
MCP 엔드포인트에 대한 인증되지 않은 SQL; 부작용이 있는 SELECT(또는 dblink/COPY TO PROGRAM 체인)가 readonly 분류기를 우회하여 파일을 쓰거나 호스트 파일을 읽거나 데이터베이스 서버에서 명령을 실행합니다.
영향받는 시스템
DBHub 데이터베이스 MCP 서버 < 0.22.6
완화 방안
DBHub 0.22.6+로 업그레이드하고, MCP HTTP 전송의 네트워크 노출을 제한하며, 비권한 DB 역할을 사용하십시오.