Beschreibung

Diese Schwachstelle besteht, weil MCPJam Inspector interne API-Endpunkte offenlegt, die für Debugging und Entwicklung gedacht sind. Diese Endpunkte akzeptieren benutzergesteuerte Eingaben und leiten sie ohne ordnungsgemäße Validierung oder Bereinigung direkt an die systemnahe Prozessausführung weiter. Durch das Senden einer manipulierten Anfrage an den verwundbaren Endpunkt (/api/mcp/connect) kann ein Angreifer das serverConfig-Objekt kontrollieren und beliebige Befehle angeben, die auf dem Host ausgeführt werden sollen. Die Anwendung versucht, basierend auf der Benutzereingabe einen Prozess zu starten und ihn als gültigen MCP-Server zu behandeln. Aufgrund der fehlenden Eingabevalidierung kann dieses Verhalten jedoch missbraucht werden, um beliebige Systembefehle auszuführen.

Funktionsweise

Der Exploit missbraucht die folgende Logik:

1. Das Backend akzeptiert eine JSON-Nutzlast, die Folgendes enthält:

• command
• args Diese Werte werden verwendet, um einen Prozess auf dem Server zu starten

2. Für diese Felder wird keine Validierung durchgeführt
3. Der Prozess wird ausgeführt, auch wenn es sich nicht um einen gültigen MCP-Server handelt

Da die Anwendung einen langlebigen MCP-Prozess erwartet, können kurzlebige Befehle Verbindungsfehler verursachen – der Befehl wird jedoch trotzdem ausgeführt.

Verwendung

python3 exploit.py '' Beispiel: python3 exploit.py domain.com "sleep 4"