🐘 Trust Boundary: MCP Session Isolation CTF

La consola muestra Sesión Activa.
Cada llamada a la herramienta tiene éxito.
El token OAuth del administrador está en cada respuesta.

Trust Boundary es un laboratorio CTF basado en navegador construido alrededor de una falla real de aislamiento de sesión en un servidor MCP que se ejecuta localmente. La vulnerabilidad no está simulada: se ejecuta en el proceso en ejecución. Tres banderas. Solo DevTools.

El Ataque

Un solo objeto de contexto mutable compartido. Credenciales de administrador establecidas al inicio. Solicitudes de usuario que lo sobrescriben parcialmente, pero nunca borran lo que importa.

flowchart LR
    subgraph startup["🚀 Inicio del servidor"]
        A[Agente Admin]
        A -->|credenciales cargadas| CTX
    end

    subgraph ctx["⚠️ Contexto Compartido"]
        CTX["identidad ✓ establecida\npermisos ✓ establecidos\ntoken ✓ establecido\nsesión ✓ establecida"]
    end

    subgraph request["👤 Llamada a herramienta de usuario"]
        U[Agente Usuario]
        U -->|identidad ✓ actualizada\npermisos ✓ actualizados\ntoken ✗ nunca reiniciado\nsesión ✗ nunca reiniciada| CTX
        CTX -->|respuesta incluye\nresiduo de admin| U
    end

    style ctx fill:#1a0a0a,stroke:#ff3333,color:#ff3333
    style startup fill:#0a0e27,stroke:#4488ff,color:#00ffff
    style request fill:#0a0e27,stroke:#ffaa00,color:#ffaa00

El servidor nunca da error. La UI informa que todo está bien. Las credenciales están en algún lugar del tráfico: encuéntralas.

Escenario

Eres un analista SOC en Elefunk respondiendo a una alerta MDR:

"Token de sesión inesperado observado en la respuesta de una llamada a herramienta de agente. Origen: contexto de usuario. El token coincide con el prefijo de credenciales de administrador. Confianza: ALTA."

La consola interna del agente en http://localhost:3000 parece normal. Tu trabajo es confirmar la falla de aislamiento y encontrar las tres banderas que produjo, usando solo las DevTools de tu navegador.

Misión de Tres Banderas

Todas las banderas siguen el formato CTF{...}. Envíalas usando el validador al final de la consola.

Configuración

Node.js 18+. Sin Docker. Sin variables de entorno. Sin configuración.

git clone https://github.com/acseguin21/trust-boundary-ctf
cd trust-boundary-ctf
npm install
npm start

Abre http://localhost:3000 — la Consola del Agente Elefunk te estará esperando.

Uso en Purple Team

SPOILERS.md es el documento complementario para instructores, ingenieros de detección y sesiones de purple team. Contiene:

• El código vulnerable anotado línea por línea
• La corrección como un diff funcional
• Recorrido paso a paso de las banderas con puntos de discusión
• Reglas de detección en KQL, Splunk SPL y Sigma

Ciérralo si estás aquí para jugar. Ábrelo si estás aquí para enseñar.

Referencias

• CVE-2025-49596 — Confusión de token OAuth de MCP mediante contexto de sesión compartido
• OWASP MCP Top 10 2025 — MCP01: Mala gestión de tokens
• Especificación del Protocolo de Contexto de Modelo

Swadee Security · Operation: Ivory Chain