무슨 일이 있었나
obsidian-tc에서 도구 디스패치는 호출자의 input.vault가 호출자에 바인딩된 볼트와 일치하는지 확인하지 않으며, JWT에는 볼트 클레임이 없고 폴더 액세스 제어 목록은 전역적으로 공유됩니다. 따라서 유효한 토큰으로 다른 구성된 볼트를 선택하고 영향을 받는 도구를 통해 해당 내용을 읽거나 쓰거나 삭제할 수 있습니다. 문서화된 루프백/인증 없음 모드의 형제 DNS 리바인딩 결함과 결합하여, 연결된 AI 에이전트가 도달할 수 있는 볼트 데이터는 호출자별로 제한되지 않습니다.
왜 중요한가
MCP 서버는 AI 에이전트의 파일 시스템/손입니다. 여기서의 다중 테넌트 IDOR은 토큰을 보유한 에이전트 — 또는 권장되는 인증 없음 루프백 구성에서는 DNS 리바인딩을 통한 로컬 웹페이지 — 가 다른 Obsidian 볼트의 노트, 임베딩 및 플러그인 구성을 조용히 읽고 파괴할 수 있음을 의미합니다 (동일 제품에 대한 CVE-2026-77363/77364도 참조).
공격 경로
MCP 도구 디스패치는 호출자 제어 input.vault 값을 호출자에 바인딩된 볼트와 비교하지 않습니다; JWT에는 볼트 클레임이 없고 폴더 ACL은 전역입니다. 한 볼트에 대한 유효한 토큰은 다른 볼트를 지정하는 요청으로 전송되며, 영향을 받는 읽기/쓰기/삭제는 대상 볼트의 파일에 대해 작동합니다.
영향받는 시스템
obsidian-tc (The-40-Thieves) < 1.3.1
완화 방안
obsidian-tc 1.3.1로 업그레이드하세요 (커밋 38b4992e87dc..., PR #72). 수정 사항은 토큰과 요청 컨텍스트를 볼트에 바인딩하고 범위 검사 전에 일치하지 않는 input.vault를 거부합니다.