🔥 CVE-2026-5029 — RCE su Code Runner MCP Server

Esecuzione remota di codice non autenticata tramite il tool MCP run-code

Python Status License

Exploit Proof of Concept per CVE-2026-5029 — una vulnerabilità critica di esecuzione remota di codice non autenticata in Code Runner MCP Server, innescata tramite il tool MCP run-code quando il server viene eseguito con --transport http.

📋 Panoramica della vulnerabilità

🧠 Descrizione tecnica

Code Runner MCP Server espone un endpoint JSON-RPC /mcp sulla porta 3088 quando viene avviato con il flag --transport http. Questo endpoint è raggiungibile con zero autenticazione — nessuna API key, nessun token di sessione, nessun controllo dell'origine.

Qualsiasi attaccante remoto non autenticato in grado di raggiungere la porta può invocare direttamente il tool MCP run-code, che accetta codice sorgente arbitrario e un identificatore di linguaggio, lo scrive in un file temporaneo e lo esegue tramite child_process.exec() utilizzando l'interprete corrispondente (bash, python, powershell e altri 30+).

Poiché non viene applicata alcuna sanitizzazione al parametro code in nessuna fase, il risultato è piena esecuzione remota di codice non autenticata con i privilegi del processo che esegue il server MCP.

Caso di studio

https://medium.com/@phantom_hat/cve-2026-5029-unpatched-case-study-unauthenticated-remote-code-execution-rce-66c7706f2320

Flusso dell'attacco

┌──────────┐   JSON-RPC tools/call    ┌───────────────────────┐   exec()   ┌──────────┐
│ Attacker │ ──── run-code tool ─────▶│  /mcp  (port 3088)    │ ─────────▶ │   RCE    │
│          │    (no auth needed)      │  Code Runner MCP      │            │  on Host │
└──────────┘                          └───────────────────────┘            └──────────┘

1. Ricognizione — Connettersi all'endpoint /mcp esposto ed enumerare i tool MCP disponibili
2. Scoperta dello schema — Recuperare lo schema di input del tool run-code (code, languageId)
3. Consegna dell'exploit — Inviare una richiesta JSON-RPC tools/call modificata con code controllato dall'attaccante
4. Esecuzione del comando — Il server scrive code in un file temporaneo e lo esegue tramite l'interprete selezionato

🗂️ Struttura del repository

.
├── exploit.py           # 🎯 Interactive RCE exploit shell (Rich-based terminal UI)
└── README.md            # 📖 You are here

exploit.py — Exploit interattivo

Lo script exploit principale, pensato per l'uso professionale in valutazioni di sicurezza e case study. Si connette al server MCP target e apre una shell interattiva in cui qualsiasi comando viene eseguito in tempo reale tramite il tool vulnerabile run-code.

Le funzionalità includono:

• Output di terminale pulito e strutturato usando Rich
• Shell exploit interattiva — inserisci comandi, ottieni l'output, avanti e indietro, senza dover rieseguire lo script
• Enumerazione dei linguaggi — elenca tutti i linguaggi per i quali il server MCP dichiara supporto
• Verifica dei linguaggi installati — controlla quali interpreti esistono effettivamente sul sistema target
• Linguaggio di esecuzione selezionabile tramite -l (predefinito: shellscript)
• Modalità verbose per un output operativo dettagliato

⚙️ Installazione

Prerequisiti

• Python 3.8+
• Gestore di pacchetti pip

Configurazione

# Clone the repository
git clone https://github.com/0x00phantom-hat/CVE-2026-5029-Exploit.git
cd CVE-2026-5029-RCE-Exploit

# Install dependencies
pip install fastmcp rich

🚀 Utilizzo

# Drop into an interactive RCE shell (default: shellscript)
python3 exploit.py -u http://TARGET:3088/mcp

# Use a specific language interpreter
python3 exploit.py -u http://TARGET:3088/mcp -l python

# List all languages the MCP server advertises support for
python3 exploit.py -u http://TARGET:3088/mcp --available

# Probe which language runtimes are actually installed on the target
python3 exploit.py -u http://TARGET:3088/mcp --installed -v

# Show the help menu
python3 exploit.py -h

Una volta connesso, l'exploit apre un prompt interattivo:

PhantomHat-MCP@Exploit-CVE-2026-5029 $ id

Digita exit per chiudere la sessione.

Flag della riga di comando

📸 Fasi dell'exploit

🔗 Riferimenti

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-5029
• Avviso CERT.PL: https://cert.pl/en/posts/2026/05/CVE-2026-5029
• Progetto vulnerabile: https://github.com/formulahendry/mcp-server-code-runner
• Sink vulnerabile (server.ts): https://github.com/formulahendry/mcp-server-code-runner/blob/main/src/server.ts

🛡️ Mitigazione

• Non eseguire --transport http su alcuna interfaccia raggiungibile dalla rete — attieniti al trasporto stdio predefinito
• Se il trasporto HTTP è necessario, vincola l'ascolto strettamente a 127.0.0.1 e collocalo dietro un reverse proxy autenticato o una VPN
• Applica un firewall sulla porta 3088 a livello di host o di rete
• Esegui il server come utente a bassi privilegi, in sandbox o all'interno di un contenitore bloccato
• Monitora eventuali invocazioni inattese di run-code e processi figlio insoliti

⚠️ Disclaimer

Questo strumento è fornito esclusivamente per test di sicurezza autorizzati e scopi educativi.

L'accesso non autorizzato a sistemi informatici è illegale ai sensi di leggi come il Computer Fraud and Abuse Act (CFAA), il Computer Misuse Act e normative simili in tutto il mondo. L'autore non si assume alcuna responsabilità per un uso improprio di questo software.

Utilizza questo strumento solo contro sistemi che possiedi o per i quali hai un'esplicita autorizzazione scritta a eseguire test.

Autore: Phantom Hat

Solo per test di penetrazione autorizzati e ricerca sulla sicurezza.