🇰🇷 한글 설명
Model Context Protocol Python SDK의 1.10.0부터 1.30.0 미만, 그리고 2.2.0 미만 버전에서 ClientSession, ClientSessionGroup, Client가 도구 호출 시 서버가 선언한 outputSchema를 jsonschema 기본 리졸버로 검증합니다. 이로 인해 해석되지 않은 $ref 값이 클라이언트 네트워크와 파일시스템 컨텍스트에서 HTTP, HTTPS, 파일 URL을 가져올 수 있습니다. 이 문제는 1.30.0 및 2.2.0 버전에서 수정되었습니다.
💡 쉬운 설명
악의적인 MCP 서버가 클라이언트에게 외부 주소나 로컬 파일을 대신 요청하도록 만들 수 있습니다. 이 과정은 동기적으로 처리되어 타임아웃이 없으므로 같은 프로세스의 모든 세션이 멈출 수도 있습니다.
🇺🇸 원문 (English)
The Model Context Protocol Python SDK is the official Python SDK for Model Context Protocol servers and clients. From 1.10.0 until 1.30.0 and 2.2.0, ClientSession, ClientSessionGroup, and Client tool calls validate server-declared outputSchema documents with jsonschema's default resolver, causing an unresolved $ref value to fetch an HTTP, HTTPS, or file URL from the client's network and filesystem context. A server can trigger blind requests or local-file reads and can stall every session in the process because resolution runs synchronously on the event loop without a timeout. This issue is fixed in versions 1.30.0 and 2.2.0.
📍 영향받는 시스템
MCP Python SDK 1.10.0 이상 1.30.0 미만, 2.0.0 이상 2.2.0 미만 버전을 사용하는 클라이언트 애플리케이션
⚔️ 공격 벡터
악의적인 MCP 서버가 outputSchema에 외부 URL 또는 파일 경로를 가리키는 $ref를 넣어 클라이언트가 SSRF 또는 로컬 파일 읽기를 수행하게 함
🛡️ 대응 방법
mcp 패키지를 1.30.0 이상 또는 2.2.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 1.30.0 이상이거나 2.2.0 이상이면 패치된 버전이며, 그 미만이면 취약하므로 업그레이드가 필요합니다.
pip show mcp 2>/dev/null | grep -i '^version'