🇰🇷 한글 설명
Windows-MCP 0.7.5 미만 버전에서 특정 HTTP 모드가 인증 없이 MCP 제어 평면을 노출하고 와일드카드 CORS 설정을 허용하는 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 오리진에서 접근하여 Windows-MCP를 실행 중인 사용자 권한으로 PowerShell 명령을 실행할 수 있습니다.
💡 쉬운 설명
Windows와 AI를 연결해주는 프로그램의 보안 설정이 허술하여, 외부에서 누구나 내 컴퓨터에 명령을 내릴 수 있는 상태였습니다. 이를 통해 해커가 내 컴퓨터에서 몰래 명령어를 실행해 제어권을 뺏을 수 있습니다.
🇺🇸 원문 (English)
Windows-MCP is an open-source project that integrates AI agents with Windows. In versions prior to 0.7.5, certain HTTP modes exposed the MCP control plane without authentication while enabling wildcard CORS (allow_origins=*, allow_methods=*, allow_headers=*). Because the same server also exposed a PowerShell tool that executes caller-controlled commands as the Windows user running Windows-MCP, attackers could reach the control plane from arbitrary origins or non-browser clients and achieve arbitrary PowerShell execution. This issue was fixed in version 0.7.5.
📍 영향받는 시스템
Windows-MCP versions prior to 0.7.5
⚔️ 공격 벡터
인증되지 않은 HTTP 제어 평면 및 와일드카드 CORS를 통한 원격 PowerShell 명령 실행
🛡️ 대응 방법
Windows-MCP를 최신 버전인 0.7.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.7.5 미만인지 확인하십시오.
pip show windows-mcp 2>/dev/null | grep Version