Validateur de sécurité autorisé MCPJam Inspector

Un validateur de preuve de concept limité pour CVE-2026-23744 affectant les déploiements vulnérables de MCPJam Inspector.

Ce projet est un outil de validation indépendant et non destructif pour la CVE-2026-23744 précédemment divulguée. Il ne s'agit pas de la divulgation originale de la vulnérabilité ni d'un exploit.

Ce dépôt est destiné aux professionnels de la sécurité qui valident des systèmes dont ils sont propriétaires ou pour lesquels ils disposent d'une autorisation écrite explicite d'évaluation.

Avis important

Ce validateur confirme l'exposition en faisant exécuter au processus MCPJam Inspector cible une commande de preuve fixe et non interactive. Il ne fournit pas de framework d'exploitation généraliste, de shell, de workflow post-exploitation, de mécanisme de persistance, de routine d'accès aux identifiants, ni de capacité d'élévation de privilèges.

Exécutez cet outil uniquement contre des actifs dont vous êtes propriétaire ou pour lesquels vous disposez d'une autorisation écrite explicite de test. Les tests non autorisés peuvent enfreindre les lois, les contrats, les politiques d'utilisation acceptable ou les règles d'engagement.

Résumé de la vulnérabilité

CVE: CVE-2026-23744
Advisory: GHSA-232v-j27c-5pp6
Produit affecté : MCPJam Inspector
Versions affectées : Jusqu'à la version 1.4.2 incluse
Version corrigée : 1.4.3
Classe de vulnérabilité : Exécution de commande à distance sans authentification
Point de terminaison affecté : /api/mcp/connect
Impact : Un attaquant distant non authentifié pourrait être en mesure de faire en sorte que le service MCPJam Inspector vulnérable lance un processus de serveur MCP contrôlé par l'attaquant.

Objectif

L'objectif de ce dépôt est de fournir un workflow de validation sûr, limité et vérifiable pour les évaluations de sécurité autorisées.

Il est conçu pour aider les défenseurs, les propriétaires d'actifs, les consultants et les équipes de sécurité internes à déterminer si un déploiement spécifique de MCPJam Inspector est toujours vulnérable à CVE-2026-23744 sans effectuer d'actions destructrices inutiles ni collecter de données sensibles.

Propriétés de sécurité

Ce validateur est intentionnellement contraint :

Nécessite une cible fournie par l'opérateur.
Nécessite l'acceptation --authorized avant l'exécution.
Exécute uniquement une commande de preuve fixe et non destructive.
N'accepte pas de commandes système arbitraires depuis la CLI.
N'établit pas de shell interactif.
N'accède pas aux identifiants.
Ne lit pas de données d'application sensibles.
Ne crée pas de persistance.
Ne tente pas d'élévation de privilèges.
Ne tente pas de mouvement latéral.
Limite les preuves renvoyées pour réduire l'exposition accidentelle des données.
Supprime la session MCP temporaire après validation.
Produit une sortie JSON structurée adaptée aux enregistrements d'évaluation.
Ne contient aucune donnée client, de laboratoire, d'identifiant ou spécifique à la cible.

Ce que fait le validateur

À un niveau élevé, le validateur :

Vérifie que l'opérateur a fourni le drapeau d'autorisation requis.
Se connecte au point de terminaison MCPJam Inspector cible.
Tente de créer une session de serveur MCP temporaire à l'aide d'un répondeur local fixe.
Demande une commande de preuve fixe à cette session temporaire.
Capture les preuves limitées renvoyées par le service cible.
Supprime la session MCP temporaire.
Affiche ou écrit un résultat d'évaluation JSON structuré.

La commande de preuve est intentionnellement limitée au contexte d'exécution de base tel que l'identité, le nom d'hôte, le répertoire de travail et les informations sur le noyau. Elle est destinée uniquement à prouver l'exécution de code sous le compte de service MCPJam Inspector.

Ce que le validateur ne fait pas

Cet outil ne :

Fournir une exécution de commande arbitraire à l'opérateur.
Fournir un shell inverse ou un shell lié.
Télécharger ou exécuter des charges utiles externes.
Lire des fichiers depuis la cible.
Vider les variables d'environnement.
Collecter des jetons, secrets, cookies, clés SSH ou identifiants.
Modifier la configuration système.
Installer un logiciel.
Créer des utilisateurs.
Modifier les permissions.
Tenter une élévation de privilèges.
Tenter une persistance.
Tenter un mouvement latéral.
Tenter une exfiltration de données.

Prérequis

Python 3.9 ou ultérieur sur le poste de travail d'évaluation.
Accès réseau du poste de travail d'évaluation au service MCPJam Inspector.
Autorisation de tester le système cible.
L'environnement d'exécution du serveur MCP côté cible doit supporter la commande utilisée par le validateur.

Le validateur est conçu pour les environnements d'évaluation autorisés et doit être exécuté depuis un poste de travail administratif de confiance.

Installation

Clonez le dépôt :

git clone https://github.com/kennedy-aikohi/mcpjam-cve-2026-23744-validator.git
cd mcpjam-cve-2026-23744-validator

Aucune dépendance Python tierce n'est requise.

Utilisation

Validation de base :

python mcpjam_authorized_validator.py \
  --target http://inspector.example.internal:6274 \
  --authorized

Écrire un rapport JSON sur le disque :

python mcpjam_authorized_validator.py \
  --target http://inspector.example.internal:6274 \
  --authorized \
  --output assessment-result.json

Exemples de formats de cible :

http://127.0.0.1:6274
http://inspector.example.internal:6274
https://inspector.example.internal

Drapeau d'autorisation requis

Le drapeau --authorized est requis par conception.

Exemple :

python mcpjam_authorized_validator.py --target http://127.0.0.1:6274 --authorized

Sans ce drapeau, le validateur se ferme et n'exécute pas l'évaluation.

Il s'agit d'une sauvegarde intentionnelle pour garantir que l'opérateur reconnaît explicitement qu'il est autorisé à tester la cible.

Codes de sortie

Le validateur utilise des codes de sortie utiles pour les pipelines CI et les vérifications de sécurité automatisées :

Code de sortie	Signification
`0`	La vulnérabilité n'a pas été validée
`1`	La vulnérabilité a été validée
`2`	Arguments invalides, absence de reconnaissance d'autorisation ou erreur d'utilisation

Un code de retour 1 ne signifie pas que le validateur a planté. Cela signifie que la cible semble vulnérable et que le résultat doit être traité comme une constatation de sécurité.

Format de sortie

Le validateur renvoie du JSON structuré similaire à ce qui suit :

{
  "timestamp_utc": "2026-06-09T13:00:00Z",
  "target": "http://inspector.example.internal:6274",
  "endpoint": "/api/mcp/connect",
  "authorized": true,
  "vulnerable": true,
  "http_status": 200,
  "evidence": {
    "identity": "uid=1000(mcpjam) gid=1000(mcpjam)",
    "hostname": "inspector-host",
    "working_directory": "/app",
    "kernel": "Linux 6.x"
  },
  "error": null
}

Les champs exacts peuvent varier en fonction du comportement de la cible, des conditions réseau et de la réponse du service.

Interprétation des résultats

Résultat vulnérable

Un résultat vulnérable signifie que le point de terminaison de connexion MCP non authentifié a lancé le processus fixe du validateur et a renvoyé des preuves.

Considérez cela comme une exécution de code à distance sous le compte de service MCPJam Inspector.

Réponse recommandée :

Enregistrez la sortie JSON comme preuve d'évaluation.
Confirmez le propriétaire du service exposé et le contexte métier.
Restreignez immédiatement l'accès au service s'il est accessible depuis un réseau non fiable.
Mettez à niveau MCPJam Inspector vers une version corrigée.
Examinez les journaux du service pour les requêtes inattendues vers /api/mcp/connect.
Examinez les permissions du compte de service.
Renouvelez les secrets s'il y a des raisons de croire que le compte de service avait accès à des documents sensibles.

Résultat non vulnérable

Un résultat non vulnérable signifie que le validateur n'a pas confirmé l'exécution.

Cela peut indiquer :

La cible est corrigée.
La cible n'est pas MCPJam Inspector.
Le point de terminaison n'est pas accessible.
Le service est protégé par des contrôles réseau.
Le comportement du service diffère des versions vulnérables.
L'environnement cible ne supporte pas le répondeur fixe du validateur.

Un résultat non vulnérable ne doit pas être traité comme une évaluation de sécurité complète en soi. Confirmez séparément la version, l'exposition, les exigences d'authentification et les contrôles d'accès réseau.

Conseils opérationnels

Avant d'exécuter le validateur :

Confirmez l'autorisation écrite.
Confirmez le nom d'hôte, l'adresse IP et le port de la cible.
Confirmez la fenêtre de test et les règles d'engagement.
Confirmez si le service est une infrastructure de production, de pré-production ou de laboratoire.
Avertissez les parties prenantes si le processus d'engagement l'exige.

Après avoir exécuté le validateur :

Enregistrez la sortie JSON.
Capturez la commande exacte utilisée.
Enregistrez l'horodatage de l'évaluation en UTC.
Enregistrez l'adresse IP source utilisée pour la validation.
Conservez les journaux de service pertinents.
Documentez les actions de correction et l'affectation du responsable.

Langage de rapport recommandé

Si le validateur confirme l'exposition, la constatation peut être décrite comme suit :

Le service MCPJam Inspector a été confirmé vulnérable à la CVE-2026-23744.
Lors de la validation autorisée, le point de terminaison non authentifié /api/mcp/connect
a fait en sorte que le service lance une commande de preuve fixe et non destructive et
retourne le contexte d'exécution. Cela confirme l'exécution de code à distance sous le compte de service MCPJam
Inspector. Aucune élévation de privilèges, accès aux identifiants,
persistance, mouvement latéral ou accès à des données sensibles n'a été tenté.

Correction

Étapes de correction recommandées :

Mettez à niveau MCPJam Inspector vers la version 1.4.3 ou ultérieure.
Supprimez l'accès public ou depuis un réseau non fiable au service Inspector.
Liez les outils d'administration à 127.0.0.1 ou à une interface de gestion de confiance.
Exigez une authentification et une autorisation avant les opérations de lancement de processus.
Placez le service derrière un VPN de confiance, un bastion ou un réseau administratif.
Restreignez l'accès entrant au niveau du pare-feu hôte, du groupe de sécurité et des couches ACL réseau.
Examinez les permissions du compte de service et réduisez les privilèges lorsque possible.
Renouvelez les secrets potentiellement exposés si le compte de service avait accès à des documents sensibles.
Inspectez les journaux pour les requêtes inattendues vers /api/mcp/connect.
Surveillez les processus enfants suspects générés par le service MCPJam Inspector.

Idées de détection

Les défenseurs peuvent examiner les sources de télémétrie suivantes :

Journaux d'accès HTTP pour les requêtes vers /api/mcp/connect.
Journaux de création de processus à partir de l'hôte MCPJam Inspector.
Processus enfants inattendus générés par le service Inspector.
Connexions réseau de l'hôte Inspector vers des destinations non fiables.
Sessions de serveur MCP nouvelles ou inhabituelles.
Exposition du service d'administration sur 0.0.0.0.
Journaux du pare-feu montrant un accès au port Inspector depuis des réseaux non fiables.

Exemple de logique de détection :

Recherchez les requêtes non authentifiées ou inattendues vers /api/mcp/connect suivies de
nouveaux processus enfants générés par le compte de service MCPJam Inspector.

Limitations

Ce validateur est intentionnellement limité et ne doit pas être traité comme un scanner de sécurité complet.

Limitations connues :

Il ne valide qu'une seule classe de vulnérabilité.
Il n'effectue pas d'empreinte numérique de version comme seule source de vérité.
Il ne teste pas l'impact post-exploitation.
Il ne valide pas toutes les configurations de déploiement possibles de MCPJam Inspector.
Il peut renvoyer un faux négatif si les contrôles réseau, le comportement du service, l'environnement d'exécution ou le formatage de la réponse empêchent la collecte de preuves.
Il peut échouer si l'environnement d'exécution côté cible ne dispose pas de l'interpréteur ou du comportement d'exécution attendu.
Il ne remplace pas la vérification des correctifs, l'examen des journaux ou l'examen de la configuration.

Notes de conception de sécurité

Le validateur est conçu pour être vérifiable et contraint.

Choix d'implémentation importants :

L'opérateur ne peut pas fournir de commandes arbitraires.
La commande de preuve est fixée dans le code source.
Les preuves renvoyées sont limitées.
L'outil nécessite une reconnaissance explicite d'autorisation.
Le nettoyage de la session MCP temporaire est tenté après la validation.
La sortie JSON prend en charge des enregistrements d'évaluation reproductibles.
Les codes de sortie adaptés aux CI permettent aux défenseurs de faire échouer les builds ou les vérifications lorsque l'exposition est confirmée.

Utilisation responsable

Utilisez uniquement contre des actifs dont vous êtes propriétaire ou pour lesquels vous avez une autorisation explicite de test.

Les utilisateurs sont responsables du respect des lois, contrats, politiques internes et règles d'engagement applicables.

N'utilisez pas cet outil pour des tests non autorisés, des analyses à l'échelle d'Internet, l'accès aux identifiants, la persistance, l'élévation de privilèges, le vol de données ou la perturbation.

Attribution

Ce dépôt est un projet de validation autorisé indépendant.

Il ne s'agit pas de la divulgation originale de la vulnérabilité, de l'avis du fournisseur ou de la publication d'exploit.

Références principales :

GitHub Security Advisory : https://github.com/MCPJam/inspector/security/advisories/GHSA-232v-j27c-5pp6
NVD CVE Record : https://nvd.nist.gov/vuln/detail/CVE-2026-23744
GitHub Advisory Database : https://github.com/advisories/GHSA-232v-j27c-5pp6

Licence

Ce projet est publié sous la licence incluse dans ce dépôt.

Notes du mainteneur

Hygiène de dépôt recommandée :

Gardez le validateur non destructif.
N'ajoutez pas de drapeaux d'exécution de commande arbitraire.
N'ajoutez pas de fonctionnalité de shell inverse.
N'ajoutez pas de fonctionnalité d'accès aux identifiants.
N'incluez pas de données réelles de cible dans les exemples.
Gardez la sortie d'évaluation limitée.
Gardez le langage d'autorisation visible dans le README et l'aide CLI.
Conservez les références à l'avis original et à l'enregistrement NVD.

mcpjam-cve-2026-23744-validator

Populaires