무슨 일이 있었나
SurrealDB의 MCP BoundSubject 지문은 사용자별 신원 대신 액세스 메서드 이름을 사용하여 JWT/Bearer 액세스를 처리하므로, 세션이 고유한 신원이 아닌 액세스 메서드로 범위가 지정됩니다. 동일한 액세스 메서드에 대한 낮은 권한의 토큰과 피해자의 mcp-session-id를 결합하면 공격자가 세션을 하이재킹하고 피해자의 역할 및 권한으로 MCP 도구를 실행할 수 있습니다. CVSS 8.1 (3.1) / 8.6 (4.0), HIGH; 2026-11-03에 게시됨.
왜 중요한가
SurrealDB는 LLM 에이전트가 데이터를 쿼리하고 변형하기 위해 호출하는 MCP 서버를 노출합니다. 세션 하이재킹을 통해 공격자가 MCP 도구 표면에서 더 높은 권한의 사용자로 행동할 수 있다면, 에이전트의 데이터베이스 작업이 리디렉션되거나 권한이 상승될 수 있습니다 — SurrealDB의 MCP 통합에 의존하는 AI 배포에서 데이터/에이전트 경계의 직접적인 손상을 의미합니다.
공격 경로
MCP 통합의 부적절한 인증: MCP BoundSubject 지문은 사용자별 신원이 아닌 액세스 메서드 이름에서 파생됩니다. 지문이 사용자별로 고유하지 않기 때문에, 동일한 액세스 메서드에 대한 유효한 낮은 권한 토큰을 가진 공격자는 이를 피해자의 mcp-session-id(획득하거나 추측)와 결합하여 피해자로 취급되고 피해자의 역할 및 권한으로 MCP 도구 표면을 호출할 수 있습니다.
영향받는 시스템
SurrealDB (surrealdb, Rust crate) 3.1.0 <= x < 3.3.0
완화 방안
SurrealDB 3.3.0으로 업그레이드하세요. 공급업체 권고: https://github.com/surrealdb/surrealdb/security/advisories/GHSA-pgh9-49q4-hqcx