🇰🇷 한글 설명
mcp-memory-service 10.25.1 미만 버전에서 HTTP 서버 활성화 시 CORS 설정 오류로 인해 발생합니다. 모든 출처를 허용하는 와일드카드 설정과 익명 액세스 기능이 결합될 경우, 악성 웹사이트가 사용자의 메모리 데이터를 무단으로 읽거나 수정 및 삭제할 수 있습니다.
💡 쉬운 설명
보안 설정이 너무 느슨하게 되어 있어, 나쁜 의도를 가진 웹사이트가 사용자의 허락 없이 메모리 정보를 몰래 훔쳐보거나 지울 수 있는 상태입니다. 누구나 접근할 수 있는 문을 열어둔 것과 같습니다.
🇺🇸 원문 (English)
mcp-memory-service is an open-source memory backend for multi-agent systems. Prior to version 10.25.1, when the HTTP server is enabled (MCP_HTTP_ENABLED=true), the application configures FastAPI's CORSMiddleware with allow_origins=['*'], allow_credentials=True, allow_methods=["*"], and allow_headers=["*"]. The wildcard Access-Control-Allow-Origin: * header permits any website to read API responses cross-origin. When combined with anonymous access (MCP_ALLOW_ANONYMOUS_ACCESS=true) - the simplest way to get the HTTP dashboard working without OAuth - no credentials are needed, so any malicious website can silently read, modify, and delete all stored memories. This issue has been patched in version 10.25.1.
📍 영향받는 시스템
mcp-memory-service version < 10.25.1 (MCP_HTTP_ENABLED=true 및 MCP_ALLOW_ANONYMOUS_ACCESS=true 설정 시)
⚔️ 공격 벡터
악성 웹사이트를 통한 Cross-Origin Resource Sharing(CORS) 취약점 이용 및 익명 API 호출
🛡️ 대응 방법
mcp-memory-service를 10.25.1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 10.25.1보다 낮으면 취약한 상태입니다.
pip show mcp-memory-service 2>/dev/null | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server