ثغرة في حزمة تطوير البرمجيات لبروتوكول MCP تهدد بيانات اعتماد OAuth
Vulnerability in MCP Protocol Software Development Kit Threatens OAuth Credentials
كشف فريق الصيانة الخاص بحزمة تطوير البرمجيات الرسمية لبروتوكول Model Context Protocol في بيئة Python عن ثغرة أمنية تتيح للخوادم الخبيثة سرقة بيانات اعتماد OAuth، بما في ذلك أسرار العميل ورمز التفويض ومفتاح إثبات PKCE، عبر توجيه العميل نحو نقطة نهاية يتحكم بها المهاجم. وأثبتت شركة الأمن السيبراني Cycode أن المهاجم يستطيع استخدام البيانات المسروقة لطلب رمز وصول صالح يحمل كامل صلاحيات التطبيق. طالت الثغرة الإصدارات 1.9.1 حتى 1.29.1 في السلسلة الأولى و2.0.0 حتى 2.1.1 في السلسلة الثانية، وتمت معالجتها في الإصدارين 1.30.0 و2.2.0 على التوالي، مع مطالبة مدراء الأنظمة بترقية الحزمة وتدوير أسرار العميل وإبطال الرموز المشبوهة.
- ثغرة في حزمة Python الرسمية لبروتوكول Model Context Protocol تسمح للخوادم الخبيثة بسرقة بيانات اعتماد OAuth
- البيانات المسربة تشمل سر العميل ورمز التفويض ومفتاح إثبات PKCE وتُرسل إلى نقطة نهاية يتحكم بها المهاجم
- أثبتت شركة Cycode إمكانية استخدام البيانات المسروقة لطلب رمز وصول صالح يحمل كامل صلاحيات التطبيق
- النسخ المتأثرة هي 1.9.1 حتى 1.29.1 و2.0.0 حتى 2.1.1، وتمت المعالجة في الإصدارين 1.30.0 و2.2.0
- يُنصح المدراء بالترقية للإصدارات الآمنة وتدوير أسرار العميل وإبطال الرموز عند الشك باختراق