itsc1sco/mcpjam-to-rootDe RCE en MCPJam Inspector a root — CVE-2026-23744, divulgación de tokens de JupyterLab, ejecución del kernel y escalada de privilegios de OPSMCP
Este repositorio está destinado únicamente a investigación de seguridad autorizada, pruebas de penetración y fines educativos. No utilice las técnicas aquí descritas contra sistemas sin autorización explícita.
De MCPJam Inspector RCE a root — CVE-2026-23744, divulgación del token de JupyterLab, ejecución de kernel y escalada de privilegios de OPSMCP.
Este repositorio documenta una cadena de ataque completa en Linux, desde una instancia expuesta de MCPJam Inspector hasta el acceso de nivel root.
La cadena encadena debilidades en herramientas de desarrollo, servicios locales, gestión de credenciales y autorización de aplicaciones:
MCPJam Inspector
│ CVE-2026-23744
▼
RCE
│
▼
JupyterLab Token
│
▼
Jupyter Kernel
│
▼
User
│
▼
OPSMCP API
│
▼
Hidden Admin Tool
│
▼
Root Credential
│
▼
root
[!WARNING] Este repositorio está destinado únicamente a investigación de seguridad autorizada, pruebas de penetración y fines educativos. Las direcciones de destino, credenciales, tokens y otros valores específicos del entorno a lo largo de este documento están redactados o reemplazados con marcadores de laboratorio.
| Paso | Etapa |
|---|---|
| 1 | MCPJam Inspector expuesto en la red |
| 2 | CVE-2026-23744 explotado |
| 3 | RCE inicial logrado |
| 4 | Token de JupyterLab divulgado |
| 5 | Ejecución de kernel de Jupyter |
| 6 | Shell de nivel de usuario |
| 7 | Revisión del código fuente de OPSMCP |
| 8 | Credencial de API codificada descubierta |
| 9 | Funcionalidad administrativa oculta abusada |
| 10 | Credencial de root divulgada |
| 11 | root |
El reconocimiento inicial se centra en identificar servicios expuestos externamente.
nmap -sC -sV -oN nmap_initial.txt TARGET
A continuación se puede realizar un escaneo TCP completo:
nmap -p- --min-rate 5000 -oN nmap_full.txt TARGET
Servicios externos relevantes:
| Puerto | Servicio | Rol |
|---|---|---|
| 22 | SSH | Administración remota |
| 6274 | MCPJam Inspector | Superficie de ataque inicial |
Servicios vinculados solo a localhost:
| Puerto | Servicio | Privilegio |
|---|---|---|
| 8888 | JupyterLab | Usuario |
| 5000 | OPSMCP | root |
El MCPJam Inspector, accesible externamente en el puerto 6274, se convierte en el punto de entrada inicial.
La instancia expuesta de MCPJam Inspector está afectada por CVE-2026-23744.
MCPJam Inspector está pensado principalmente como una interfaz de desarrollo y prueba para servidores MCP. La vulnerabilidad se vuelve especialmente peligrosa cuando esta interfaz se expone a una red no confiable: un flujo de configuración vulnerable permite que datos controlados por el atacante lleguen a una ruta de ejecución de comandos.
Remote Request
│
▼
MCP Server Configuration
│
▼
Command Execution
│
▼
Initial Shell
La vulnerabilidad afecta a las versiones de MCPJam Inspector hasta la 1.4.2 inclusive. Para pruebas autorizadas, se puede utilizar una prueba de concepto pública para validar la vulnerabilidad contra el entorno objetivo.
Tras una explotación exitosa, confirme el contexto de ejecución:
id
whoami
hostname
Una vez obtenido el punto de apoyo inicial, los servicios locales se vuelven visibles.
ss -tlnp
ps aux | grep -E 'jupyter|python|node'
Network
│
▼
MCPJam Inspector
:6274
│
▼
Initial RCE
│
┌─────────┴─────────┐
▼ ▼
JupyterLab OPSMCP
:8888/local :5000/local
│ │
▼ ▼
User root
La diferencia de privilegios entre las dos aplicaciones internas resulta especialmente interesante.
El proceso de JupyterLab se inició con su token de autenticación directamente en la línea de comandos:
--ServerApp.token=<JUPYTER_TOKEN>
La línea de comandos se puede inspeccionar mediante:
ps aux | grep jupyter
# or
cat /proc/<PID>/cmdline
Esto demuestra un problema común en la gestión de secretos:
Secret → Command-line argument → Process metadata → Local credential disclosure
El token recuperado proporciona acceso a la API local de Jupyter.
Jupyter expone una API REST para gestionar kernels. Tras autenticarse con el token recuperado, se puede crear un kernel mediante:
POST /api/kernels
La respuesta contiene un UUID de kernel. Los kernels de Jupyter se comunican a través de WebSockets:
/api/kernels/<KERNEL_ID>/channels
El protocolo de mensajería de Jupyter utiliza un mensaje execute_request para ejecutar código Python:
{
"header": { "msg_type": "execute_request" },
"content": { "code": "<AUTHORIZED_LAB_CODE>" }
}
Esto establece la ejecución de Python bajo la identidad del servicio de Jupyter; en este entorno, el kernel se ejecuta como Usuario.
MCPJam RCE → JupyterLab → User
Con un shell de usuario disponible, el siguiente paso es examinar las aplicaciones instaladas localmente. La aplicación OPSMCP se encuentra en:
/opt/opsmcp/
La revisión del código fuente revela una credencial de API incrustada:
VALID_API_KEY = "<REDACTED_OPSMCP_API_KEY>"
La aplicación también mantiene dos colecciones de herramientas:
Herramientas visibles
ops.system_statusops.list_servicesops.check_diskops.view_logsHerramientas ocultas
ops._admin_dumpops._debug_modeLas funciones administrativas resultan especialmente interesantes porque no se devuelven a través de la enumeración normal de herramientas.
No documentado no significa inaccesible.
El backend sigue registrando las herramientas ocultas y acepta sus nombres a través del mecanismo genérico de ejecución de herramientas.