По информации, опубликованной в безопасности, злоумышленный сервер MCP может обманом заставить приложение, разработанное на основе официального MCP Python SDK, передать свои OAuth-учетные данные, используемые для входа в реальные сервисы. Уязвимые версии SDK отправляли клиентский секрет, код авторизации и доказательство PKCE на конечную точку токена, контролируемую атакующим.

Разработчики SDK уже выпустили исправление для данной уязвимости, которое доступно в версиях 1.30.0 и выше. Пользователям настоятельно рекомендуется обновить свои приложения до этих версий, чтобы защитить свои данные от потенциальных атак.

Злоумышленники могут использовать данную уязвимость для получения доступа к конфиденциальной информации пользователей, что может привести к серьезным последствиям, включая кражу данных и финансовые потери. Поэтому важно не только обновить версии SDK, но и провести аудит безопасности используемых приложений.

Эксперты по кибербезопасности подчеркивают, что пользователи должны быть особенно внимательны к безопасности своих OAuth-учетных данных и следить за новыми обновлениями и рекомендациями от разработчиков SDK.

Кроме того, рекомендуется внедрить дополнительные меры безопасности, такие как многофакторная аутентификация, для минимизации рисков, связанных с возможными атаками на OAuth-авторизацию.

Источник новости:
The Hacker News

Читать полностью