🇰🇷 한글 설명
@jshookmcp/jshook은 AI 에이전트에게 JavaScript 분석 및 보안 연구 도구를 제공하는 MCP 서버입니다. 0.3.1 버전에서 네트워크 도메인의 중앙 SSRF 정책은 명시적 인가 객체가 없으면 사설·루프백·링크 로컬·예약 대상을 차단하지만, ICMP 프로브와 traceroute 도구는 이 정책을 거치지 않고 네이티브 ICMP/traceroute 싱크를 직접 호출하여 내부 주소를 탐색할 수 있습니다. 0.3.2 버전에서 수정되었습니다.
💡 쉬운 설명
이 도구에 연결된 AI 프로그램은 보안 설정이 막아둔 내부 네트워크 주소에도 ping이나 경로 추적을 보낼 수 있습니다. 이를 통해 서버 내부망의 구조와 접근 가능 여부가 외부에 노출될 수 있습니다.
🇺🇸 원문 (English)
@jshookmcp/jshook is an MCP server that gives AI agents tools for JavaScript analysis and security research. In version 0.3.1, he network domain has a central SSRF authorization policy that blocks private, loopback, link-local, and reserved targets unless an explicit authorization object allows private network access. The policy is enforced by raw HTTP/TCP/TLS RTT tools, but the ICMP probe and traceroute tools resolve the target and invoke the native ICMP/traceroute sink directly. An MCP client with access to an active network domain can therefore ask the jshookmcp server to probe internal addresses even when local SSRF access is disabled for the other raw network tools. This exposes an internal reachability and route mapping primitive from the server network position. Version 0.3.2 fixes the issue.
📍 영향받는 시스템
@jshookmcp/jshook 0.3.1 이하 버전
⚔️ 공격 벡터
네트워크 도메인에 접근 가능한 MCP 클라이언트가 ICMP 프로브 또는 traceroute 도구로 내부 IP를 지정해 서버 측에서 내부 도달성과 경로를 탐색
🛡️ 대응 방법
@jshookmcp/jshook을 0.3.2 이상으로 업데이트
🔧 검증 코드
출력된 버전이 0.3.2 이상이면 패치 적용된 상태이며, 0.3.1 이하이면 취약하므로 업데이트가 필요합니다.
npm list @jshookmcp/jshook 2>/dev/null | grep jshook