CVE-2026-52618 — @webfer/mcp-ansible-drupal: Inyección de comandos del sistema operativo a través de las variables extra de executeDeployment

spawn(cmd[0], cmd.slice(1), { shell: true }) vuelve a unir un array de argumentos en una única cadena /bin/sh -c sin escape, por lo que un metacarácter de shell en un valor extraVars suministrado a la herramienta MCP executeDeployment se ejecuta en el host que ejecuta el servidor.

Este problema está corregido. Actualice a 2.0.3 o posterior.

Modelo de amenazas

Los argumentos de las herramientas MCP están influenciados por el atacante. Son producidos por un LLM a partir del contenido que el agente procesa — documentos, páginas web, salida de herramientas —, por lo que la inyección indirecta de prompts otorga a un atacante el control de los valores que recibe un manejador de herramientas. Un manejador que introduce cualquiera de esos valores en un shell convierte esa influencia en ejecución de código en el host que ejecuta el servidor MCP. Este es el mismo modelo que el caso precedente aws-mcp-server / CVE-2026-5058.

La consecuencia es que "el llamador es un LLM de confianza" no es una mitigación. Los argumentos de las herramientas son entrada no confiable.

Ejecución

src/helpers/runAnsible.ts en 2.0.0 construía un array de argumentos y luego lo ejecutaba con el shell habilitado:

const proc = spawn(ansibleCmd[0], ansibleCmd.slice(1), { shell: true });

Con shell: true, Node no ejecuta ansibleCmd[0] con los elementos restantes como argv. Une todo el array en una sola cadena y se la entrega a /bin/sh -c, sin aplicar comillas ni escape a los elementos. Por lo tanto, cualquier elemento que contenga ;, &&, |, comillas invertidas o $() se escapa del comando previsto.

La ruta alcanzable es la herramienta MCP executeDeployment (src/tools/executeDeployment.ts), que reenvía extraVars suministrados por el llamador al array como --extra-vars key=value. Un valor de ; touch /tmp/marker ; produce:

/bin/sh -c "ansible-playbook -i inv.ini play.yml ... --extra-vars deploy_env=; touch /tmp/marker ; echo INJECTED"

Un segundo sumidero en la misma versión interpolaba projectRoot en execSync('ansible-vault encrypt ' + vaultPath).

Reproducción

poc/driver.mjs llama a runAnsible directamente con un valor extraVars manipulado y comprueba la existencia del archivo marcador. No es necesario tener ansible-playbook instalado — el comando inyectado se ejecuta en la misma cadena /bin/sh -c independientemente de si el binario principal se resuelve.

npm pack @webfer/[email protected] && tar xf webfer-mcp-ansible-drupal-2.0.0.tgz
node poc/driver.mjs

Resultado esperado en una versión afectada:

{"target":"@webfer/mcp-ansible-drupal 2.0.0","sink":"runAnsible -> spawn(cmd[0], cmd.slice(1), {shell:true})","vector":"executeDeployment extraVars value","marker":"/tmp/PWNED_ansible","created":true,"verdict":"CONFIRMED - command injection executed"}

Validado el 2026-06-01 en un contenedor aislado y revalidado el 2026-06-13 con un marcador touch benigno. Ejecútelo solo contra infraestructura que esté autorizado a probar.

Detección

• Cualquier valor --extra-vars que llegue a ansible-playbook y contenga ;, &&, ||, |, una comilla invertida o $(. Los valores legítimos de variables de Ansible prácticamente nunca los contienen.
• Un proceso sh -c cuya línea de comandos contenga ansible-playbook y un segundo comando después de un separador — una señal de árbol de procesos (auditd, eBPF, Falco, EDR) que no depende del registro de la aplicación.
• Hijos inesperados del proceso del servidor MCP. ansible-playbook, git y ansible-vault son esperados; un shell, un intérprete o un cliente de red no lo son.
• Registros de llamadas a herramientas MCP donde los argumentos de executeDeployment contengan metacaracteres de shell. Registre los argumentos de las herramientas — la mayoría de las implementaciones MCP no lo hacen, y es el único lugar donde el valor inyectado es visible en términos de la aplicación.

MITRE ATT&CK T1059.004 Command and Scripting Interpreter: Unix Shell.

Mitigación

Actualice a @webfer/mcp-ansible-drupal 2.0.3 o posterior. El código actual llama a spawn(ansibleCmd[0], ansibleCmd.slice(1), { … }) sin la opción shell, por lo que el array se pasa como argv y los metacaracteres pierden su significado.

La regla general para los manejadores de herramientas MCP, y lo que la corrección aplica aquí:

• Nunca habilite shell: true cuando ya se dispone de un array de argumentos. La forma de array existe precisamente para evitar el shell.
• Nunca construya un comando mediante interpolación de cadenas a partir de un argumento de herramienta. Use execFile/spawn con un vector de argumentos explícito.
• Valide el contenido, no solo el tipo. Un z.string() de Zod demuestra que el valor es una cadena y nada sobre lo que contiene. Use una lista de permitidos cuando el conjunto de valores sea conocido; rechace los metacaracteres de shell cuando no lo sea.
• Ejecute el servidor MCP como un usuario sin privilegios con el alcance más restringido de sistema de archivos y red que la herramienta realmente necesite.

NIST SP 800-53r5 SI-10; OWASP ASVS v4 §5.3.8; mitigaciones M1 y M2 de CWE-78.

Cronología

Referencias

• Paquete npm — https://www.npmjs.com/package/@webfer/mcp-ansible-drupal
• Repositorio — https://github.com/webfer/MCP-Ansible-Drupal
• Precedente para el modelo de amenazas de MCP — CVE-2026-5058 (aws-mcp-server)

Avisos complementarios de la misma ronda de investigación: CVE-2026-52616, CVE-2026-52617.

Licencia

MIT — ver LICENSE.