무슨 일이 있었나
SSRF를 허용했던 동일한 비특권 /api/mcp/fetch-tools 엔드포인트가 stdio 전송도 허용하며, 이는 공격자가 제공한 인수를 사용하여 공격자가 제공한 명령을 실행하므로 인증된 모든 사용자가 백엔드 호스트에서 명령을 실행할 수 있습니다.
왜 중요한가
저권한 사용자(또는 프롬프트 주입에 의해 조종되는 에이전트)는 도구 가져오기 API를 에이전트 플랫폼의 호스트 셸 액세스로 변환하여 백엔드 침해로 확대할 수 있습니다.
공격 경로
POST /api/mcp/fetch-tools는 모든 인증된 사용자(최저 역할)가 접근할 수 있으며, stdio MCP 전송을 허용하여 공격자가 제공한 명령을 공격자가 제어하는 인수로 실행하여 백엔드에서 명령 실행을 유발합니다.
영향받는 시스템
heymrun/heym < 0.0.75 (POST /api/mcp/fetch-tools stdio 전송)
완화 방안
heym 0.0.75+로 업그레이드하세요. fetch-tools 접근을 신뢰된 사용자로 제한하고, MCP 전송 허용 목록을 제한하세요.