🇰🇷 한글 설명
PyPI의 mcp Python SDK에서 발생한 보안 취약점으로, 1.28.1 이전 버전의 mcp.server.websocket.websocket_server 전송 계층은 Host 또는 Origin 헤더 검증을 수행하지 않습니다. 이로 인해 SDK 수준에서 연결 가능한 오리진을 제한할 수 없는 문제가 발생합니다.
💡 쉬운 설명
웹소켓을 사용하는 프로그램이 허가되지 않은 외부 사이트의 접속을 제대로 걸러내지 못하는 문제입니다. 이로 인해 악의적인 웹사이트가 사용자의 권한을 이용해 서버에 연결을 시도할 수 있습니다.
🇺🇸 원문 (English)
The MCP Python SDK, called mcp on PyPI, is a Python implementation of the Model Context Protocol (MCP). Prior to 1.28.1, the deprecated mcp.server.websocket.websocket_server transport accepted WebSocket handshakes without applying Host or Origin header validation, leaving no SDK-level way to restrict which origins could connect to applications that exposed that transport. This issue is fixed in version 1.28.1.
📍 영향받는 시스템
MCP Python SDK (mcp) 1.28.1 미만 버전
⚔️ 공격 벡터
검증되지 않은 Origin 헤더를 이용한 웹소켓 핸드셰이크 요청을 통한 비인가 접속
🛡️ 대응 방법
MCP Python SDK를 최신 버전인 1.28.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.28.1보다 낮으면 취약한 상태입니다.
pip show mcp | grep Version