🇰🇷 한글 설명
mcp-server-kubernetes에서 입력값이 sanitize되지 않은 채로 child_process.execSync에 전달되어 command injection 취약점이 발생합니다. 공격자가 임의의 시스템 명령어를 실행할 수 있으며, 서버 프로세스의 권한으로 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
MCP Server Kubernetes 프로그램의 버그로 인해 공격자가 서버를 통해 악의적인 명령어를 실행할 수 있습니다. 이를 악용하면 서버가 실행 중인 컴퓨터를 완전히 장악당할 수 있으므로 즉시 패치가 필요합니다.
🇺🇸 원문 (English)
MCP Server Kubernetes is an MCP Server that can connect to a Kubernetes cluster and manage it. A command injection vulnerability exists in the mcp-server-kubernetes MCP Server. The vulnerability is caused by the unsanitized use of input parameters within a call to child_process.execSync, enabling an attacker to inject arbitrary system commands. Successful exploitation can lead to remote code execution under the server process's privileges. This vulnerability is fixed in 2.5.0.
📍 영향받는 시스템
mcp-server-kubernetes 2.5.0 미만의 모든 버전
⚔️ 공격 벡터
MCP Server의 API 엔드포인트 입력 파라미터를 통한 직접 command injection 공격
🛡️ 대응 방법
mcp-server-kubernetes를 2.5.0 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 2.5.0 이상이면 취약점 해결, 그 이하면 업그레이드 필요
npm list mcp-server-kubernetes 2>/dev/null | grep mcp-server-kubernetes