CVE-2026-23744: @mcpjam/inspector의 인증되지 않은 원격 코드 실행

면책 조항: 이 저장소와 관련 스크립트는 공인된 보안 평가, 침투 테스트, 보안 연구 및 교육적 분석 목적으로만 제공됩니다. 명시적인 서면 동의 없이 시스템을 무단 테스트하는 것은 불법이며 엄격히 금지됩니다. 저자는 본 자료의 오해 또는 오용으로 인한 어떠한 책임도 지지 않습니다.

취약점 개요

이 저장소에는 @mcpjam/inspector(Model Context Protocol 서버용 로컬 우선 개발 플랫폼)에 영향을 미치는 치명적인 심각도 취약점인 CVE-2026-23744를 시연하는 개념 증명(PoC) 자동화 스크립트가 포함되어 있습니다.

이 취약점은 중요 기능에 대한 인증 누락(CWE-306) 과 안전하지 않은 기본 네트워크 바인딩이 결합되어 발생합니다. 기본적으로 MCPJam Inspector 인터페이스는 127.0.0.1이 아닌 0.0.0.0에 바인딩되어 HTTP API 제어 평면을 로컬 네트워크 또는 인터넷에 노출시킵니다. 원격 위협 행위자는 인증되지 않은 /api/mcp/connect 엔드포인트를 악용하여 serverConfig 객체 내부에 임의의 운영 체제 명령이 포함된 조작된 JSON 페이로드를 전송함으로써 전체 컨텍스트 원격 코드 실행(RCE)을 유도할 수 있습니다.

기술적 흐름

자동화된 평가 도구는 다음과 같은 논리적 방법론을 구현합니다:

1. 대상 검증(ICMP 핸드셰이크): 네트워크 페이로드 시퀀스를 초기화하기 전에 호스트 가용성을 평가하여 소켓 오류 또는 실행 중단을 방지합니다.
2. 리스너 초기화: 수신되는 리버스 셸 연결을 가로채기 위해 제어된 핸들러를 생성합니다.
3. 페이로드 구성: 원격 구문 분석 중 문자 이스케이프 경계를 피하기 위해 동적으로 base64로 인코딩된 콜백 문자열을 포함하는 JSON 구성 페이로드를 조립합니다.
4. 악용 벡터: 대상의 노출된 오케스트레이션 인터페이스(/api/mcp/connect)에 인증되지 않은 HTTP POST 요청을 전송하여 애플리케이션 런타임이 셸 계층으로 내려가 페이로드를 실행하도록 강제합니다.

아키텍처 구성 요소

• exploit.py: 호스트 상태 확인, 페이로드 인코딩 및 HTTP 상호 작용을 처리하는 핵심 자동화 프레임워크.
• 대상 인터페이스: /api/mcp/connect
• 영향: MCPJam Inspector 프로세스를 실행 중인 사용자(일반적으로 개발자 워크스테이션, CI/CD 러너 또는 빌드 서버)의 컨텍스트에서 전체 관리 액세스 권한 획득.

사전 요구 사항 및 사용법

평가 프레임워크를 실행하기 전에 환경에 Python 3.x가 제대로 설치되어 있는지 확인하십시오.

설치

git clone [https://github.com/](https://github.com/)<your-username>/CVE-2026-23744.git
cd CVE-2026-23744

### 실행

대상 호스트에 대해 평가 스크립트를 실행합니다:
'''bash

python3 exploit.py -t <target_ip> -api <target_api> -user <user_ip>

또는 사용자 지정 대상 포트를 지정합니다:
'''bash

python3 exploit.py -t <target_ip> -api <target_api> -user <user_ip> -p <target_port>

### 수정 및 완화

패키지 업그레이드: @mcpjam/inspector를 버전 1.4.3 이상으로 업데이트합니다.

네트워크 바인딩: 애플리케이션이 0.0.0.0이 아닌 127.0.0.1(로컬 호스트)에 명시적으로 바인딩되도록 합니다.

액세스 제어: 호스트 기반 방화벽 규칙(iptables / ufw) 또는 보안 그룹을 사용하여 신뢰할 수 있는 관리 서브넷으로 네트워크 노출을 제한합니다.

### 공개 타임라인

2026-01-16: CVE-2026-23744가 국가 취약점 데이터베이스(NVD)에 게시됨.

2026-01-16: 버전 1.4.3(커밋 e6b9cf9)에서 공급업체 패치 게시.

2026-01-23: 공개 취약점 공개 및 기술 권고 발표.

### 참고 자료

https://nvd.nist.gov/vuln/detail/CVE-2026-23744

https://github.com/advisories/GHSA-232v-j27c-5pp6

https://cwe.mitre.org/data/definitions/306.html