🇰🇷 한글 설명
Obsidian Web MCP 0.2.0 미만 버전에서 인증 과정 없이 OAuth 인증 코드를 발급받고 토큰을 탈취할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 인증되지 않은 상태로 원격에서 사용자의 Obsidian 보관함(Vault)에 접근하여 데이터를 읽고, 쓰고, 삭제하는 등의 모든 권한을 남용할 수 있습니다.
💡 쉬운 설명
해커가 로그인 과정 없이도 사용자의 Obsidian 메모장에 몰래 들어와 내용을 읽거나 지울 수 있는 심각한 보안 구멍이 발견되었습니다. 이 취약점을 이용하면 소중한 개인 메모가 통째로 유출되거나 파괴될 수 있습니다.
🇺🇸 원문 (English)
Obsidian Web MCP is a secure remote MCP server for Obsidian vaults. Prior to 0.2.0, /oauth/authorize issues an authorization code without a login, consent, or session check, and /oauth/token can exchange that code for the static VAULT_MCP_TOKEN without authenticating a client. An unauthenticated remote caller who can reach the intended tunnel deployment can therefore call /mcp and use vault_read, vault_write, vault_search, vault_list, vault_move, and vault_delete against the entire vault. Optional PKCE does not prevent an attacker-initiated flow, and unauthenticated /oauth/register also exposes a client_credentials path by returning the configured VAULT_OAUTH_CLIENT_SECRET. This issue is fixed in version 0.2.0.
📍 영향받는 시스템
Obsidian Web MCP versions prior to 0.2.0
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 /oauth/authorize 및 /oauth/token 엔드포인트를 악용하여 VAULT_MCP_TOKEN을 탈취한 후 /mcp를 통해 보관함 제어
🛡️ 대응 방법
Obsidian Web MCP를 최신 버전인 0.2.0 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.2.0 미만(예: 0.1.x)이면 취약한 상태이며, 0.2.0 이상이어야 안전합니다.
npm list -g obsidian-web-mcp | grep -E 'obsidian-web-mcp@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
Microsoft Exchange Server