무슨 일이 있었나
Apache는 (2026-10-19) Apache Answer의 MCP 답변 검색 도구에서 승인 누락 취약점을 공개했으며, 전역 API 키 보유자가 숨겨진, 삭제된 또는 검토 대기 중인 질문의 답변 콘텐츠에 접근할 수 있습니다. CVSS 점수는 발표되지 않았습니다(미평가).
왜 중요한가
Apache Answer는 에이전트가 지식 베이스 답변을 검색하기 위해 호출하는 MCP 도구를 노출합니다. MCP 경로에 가시성 검사가 없어 일반 UI가 숨기는 동일한 콘텐츠가 유출되어, 에이전트나 운영자가 제한되어야 할 데이터를 읽을 수 있게 되며 에이전트가 수집하는 Q&A 콘텐츠의 기밀성 경계가 훼손됩니다.
공격 경로
MCP 답변 검색 도구는 웹 답변 목록과 동일한 가시성/승인 규칙을 적용하지 않으므로, 전역 API 키를 가진 호출자가 숨겨진, 삭제된 또는 검토 대기 중인 질문과 관련된 답변을 읽을 수 있습니다 (CWE-862).
영향받는 시스템
Apache Answer 2.0.2 이하
완화 방안
Apache Answer 2.0.3으로 업그레이드하세요.