🇰🇷 한글 설명
Lokka는 Microsoft 365 및 Microsoft Graph를 지원하는 Model Context Protocol 서버입니다. 2.1.2 버전 이전의 Lokka-Microsoft 도구는 URL 문자열을 직접 결합하는 방식을 사용하여, 조작된 경로를 통해 Azure Resource Manager 인증 토큰이 의도하지 않은 호스트로 전송될 수 있는 취약점이 존재합니다.
💡 쉬운 설명
공격자가 특수하게 조작된 주소를 입력하면, 중요한 로그인 정보(토큰)가 원래 가야 할 곳이 아닌 해커의 서버로 전송될 수 있는 보안 결함입니다. 이로 인해 사용자의 Azure 계정 권한이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
Lokka is a Model Context Protocol server for Microsoft 365, including Microsoft Graph and other services. Prior to 2.1.2, the Lokka-Microsoft tool in src/mcp/src/main.ts uses direct URL string concatenation to append the user-controlled path value to the management.azure.com base URL. A specially crafted path can alter URL authority parsing and cause an Azure Resource Manager bearer token to be sent to an unintended host. This issue is fixed in version 2.1.2.
📍 영향받는 시스템
Lokka (version prior to 2.1.2)
⚔️ 공격 벡터
사용자가 제어 가능한 경로 값을 이용한 URL 문자열 결합 및 URL 권한 파싱 조작
🛡️ 대응 방법
Lokka를 최신 버전인 2.1.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.1.2 미만이면 취약한 상태이며, 2.1.2 이상이면 안전합니다.
npm list lokka 2>/dev/null | grep -E 'lokka@'