무슨 일이 있었나
1.5.0 이전의 chrome-devtools-mcp에서 불충분한 정책 시행으로 로컬 공격자가 악성 파일을 통해 임의 읽기/쓰기를 달성할 수 있습니다. CVSS 점수는 할당되지 않았으며 Chromium의 중간 심각도를 가지며 로컬 행위자만 접근 가능합니다.
왜 중요한가
chrome-devtools-mcp는 브라우저 구동 에이전트를 위한 MCP 도구 표면입니다; 로컬 공격자는 에이전트의 브라우저 제어 채널을 통해 개발자 호스트에서 임의 파일 읽기/쓰기를 얻을 수 있으며, 이를 사용하여 자격 증명을 수확하거나 에이전트 상태를 변조할 수 있습니다.
공격 경로
로컬 공격자는 악성 파일을 사용하여 chrome-devtools-mcp의 불충분한 정책 시행을 유발하고 MCP 서버가 실행 중인 머신에서 임의 파일 읽기/쓰기를 수행합니다.
영향받는 시스템
chrome-devtools-mcp >= 1.1.0, < 1.5.0 (Linux의 Google Chrome)
완화 방안
chrome-devtools-mcp 1.5.0 (GHSA-5hw5-4q87-m6x9)으로 업그레이드하십시오.