무슨 일이 있었나
MCP TypeScript SDK의 서버 측 베어러 인증은 OAuth 토큰 대상(audience)을 강제하지 않아 다른 서비스를 위해 발급된 유효한 토큰이 허용됩니다. 다중 서비스 배포에서 한 서비스의 토큰을 가진 공격자가 MCP 서버에 인증된 호출자로 인증할 수 있습니다.
왜 중요한가
MCP 서버는 종종 하나의 인증 서버가 여러 서비스에 걸쳐 토큰을 발급하는 공유 OAuth 생태계에 배포됩니다; 대상 검사 누락으로 다른 서비스용 토큰이 MCP 도구를 잠금 해제할 수 있어 에이전트 도구 표면으로의 인증 우회 경로가 됩니다.
공격 경로
서버 측 HTTP 베어러 인증은 SDK가 토큰 대상(audience)을 강제하지 않기 때문에 다른 서비스에 대해 발급된 유효한 액세스 토큰을 허용합니다. 다른 서비스의 토큰을 가진 호출자가 MCP 서버에 인증하여 인증된 호출자에게 부여된 기밀성 및 무결성 기능을 얻을 수 있습니다.
영향받는 시스템
@modelcontextprotocol/sdk >= 1.6.0, < 1.32.0; @modelcontextprotocol/server >= 2.0.0, < 2.3.0; @modelcontextprotocol/express >= 2.0.0, < 2.0.2; @modelcontextprotocol/server-legacy >= 2.0.0, < 2.3.1
완화 방안
@modelcontextprotocol/sdk 1.32.0 / server 2.3.0 / express 2.0.2 / server-legacy 2.3.1로 업그레이드한 다음 대상 검증을 활성화하고 예상 토큰 대상을 제공하십시오 (업그레이드만으로는 새 검증이 비활성화된 상태로 남습니다). 권고: https://github.com/modelcontextprotocol/typescript-sdk/security/advisories/GHSA-rvq5-wwqv-78pq