🇰🇷 한글 설명
Anthropic의 MCP TypeScript SDK 1.25.1 이하 버전의 UriTemplate 클래스에서 RFC 6570 폭발형 배열 패턴 처리 시 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 동적으로 생성된 정규 표현식의 중첩된 수량자가 특수하게 제작된 입력값에 대해 치명적인 백트래킹을 유발하여 CPU 사용량을 급증시킵니다. 공격자는 악의적인 URI를 제공하여 Node.js 프로세스를 응답 불능 상태로 만들어 서비스 거부를 일으킬 수 있습니다.
💡 쉬운 설명
특정한 규칙을 가진 복잡한 주소를 처리할 때 컴퓨터가 계산을 무한히 반복하게 만드는 약점이 있습니다. 이 약점을 이용해 가짜 주소를 보내면 서버가 과부하에 걸려 작동을 멈출 수 있습니다.
🇺🇸 원문 (English)
Anthropic's MCP TypeScript SDK versions up to and including 1.25.1 contain a regular expression denial of service (ReDoS) vulnerability in the UriTemplate class when processing RFC 6570 exploded array patterns. The dynamically generated regular expression used during URI matching contains nested quantifiers that can trigger catastrophic backtracking on specially crafted inputs, resulting in excessive CPU consumption. An attacker can exploit this by supplying a malicious URI that causes the Node.js process to become unresponsive, leading to a denial of service.
📍 영향받는 시스템
Anthropic MCP TypeScript SDK 1.25.1 및 그 이하 모든 버전
⚔️ 공격 벡터
악의적으로 조작된 RFC 6570 폭발형 배열 패턴이 포함된 URI를 입력값으로 제공
🛡️ 대응 방법
MCP TypeScript SDK를 1.25.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.25.1 이하인지 확인하여 취약 여부를 판단합니다.
npm list @modelcontextprotocol/sdk --depth=0 2>/dev/null | grep -E '@modelcontextprotocol/sdk@([0-9]+\.[0-9]+\.[0-9]+)'