무슨 일이 있었나
AWS Serverless MCP Server의 배포 상태 구성 요소는 경로명을 의도된 디렉토리로 제한하지 않습니다. 프롬프트 인젝션의 영향을 받은 에이전트 또는 신뢰할 수 없는 요청이 프로젝트 이름에 탐색 시퀀스나 절대 경로를 전달하여 예상 디렉토리 밖의 JSON 파일을 읽고(선택적으로 쓰기)할 수 있습니다. CVSS 6.1 (3.1), 2026-11-02에 게시됨.
왜 중요한가
이것은 LLM 에이전트가 서버리스 배포를 관리하기 위해 호출하는 MCP 도구입니다. 입력이 공격자/에이전트가 제어하므로, 프롬프트 주입되거나 악의적인 에이전트가 호스트에서 민감한 JSON(예: 배포/구성/자격 증명이 포함된 파일)을 읽거나 쓰기가 활성화된 경우 파일을 덮어쓸 수 있는 방법을 제공합니다 — 에이전트-호스트 경계를 넘는 에이전트 경로 탐색입니다.
공격 경로
경로명이 의도된 배포 상태 디렉토리로 제한되지 않습니다. MCP 에이전트에 영향을 미칠 수 있는 행위자는 프로젝트 이름 입력에 디렉토리 탐색 시퀀스나 절대 경로를 제공하여, 구성 요소가 디렉토리 밖의 JSON 파일을 읽고(쓰기 액세스가 활성화된 경우 생성하거나 덮어쓰기)할 수 있습니다.
영향받는 시스템
awslabs.aws-serverless-mcp-server v0.2.1 이전
완화 방안
aws-serverless-mcp-server v0.2.1로 업그레이드하세요. 권고: https://aws.amazon.com/security/security-bulletins/2026-164-aws/ 및 GHSA-r6mm-377j-qg8m