⚠️ Отказ от ответственности

Этот репозиторий предназначен только для авторизованных исследований безопасности, тестирования на проникновение и образовательных целей. Не используйте описанные здесь техники против систем без явного разрешения.

⚡ MCPJam → root

От RCE в MCPJam Inspector до root — CVE-2026-23744, раскрытие токена JupyterLab, выполнение кода в ядре и повышение привилегий через OPSMCP.

📖 Обзор

В этом репозитории документируется полная цепочка атак на Linux — от открытого экземпляра MCPJam Inspector до доступа уровня root.

Цепочка связывает воедино слабости в инструментарии разработчика, локальных сервисах, обработке учётных данных и авторизации приложений:

MCPJam Inspector
       │  CVE-2026-23744
       ▼
     RCE
       │
       ▼
JupyterLab Token
       │
       ▼
Jupyter Kernel
       │
       ▼
     User
       │
       ▼
  OPSMCP API
       │
       ▼
Hidden Admin Tool
       │
       ▼
Root Credential
       │
       ▼
     root

[!WARNING] Этот репозиторий предназначен только для авторизованных исследований безопасности, тестирования на проникновение и образовательных целей. Адреса целей, учётные данные, токены и другие значения, зависящие от окружения, в этом документе отредактированы или заменены лабораторными плейсхолдерами.

📑 Оглавление

• 🎯 Путь атаки
• 🔎 Разведка
• 💥 CVE-2026-23744 — RCE в MCPJam Inspector
• 🕵️ Внутренняя разведка
• 🔐 Раскрытие токена JupyterLab
• 🧠 Выполнение кода в ядре JupyterLab
• 📂 Исходный код OPSMCP
• 🚨 Скрытая административная функция
• 🔑 Раскрытие root-учётных данных
• 👑 root
• 🗺️ Полная цепочка атак
• 🧩 Сводка уязвимостей
• 🛡️ Устранение
• 🔍 Обнаружение
• 💡 Ключевые выводы
• 📚 Ссылки

🎯 Путь атаки

🔎 Разведка

Первоначальная разведка направлена на выявление сервисов, доступных извне.

nmap -sC -sV -oN nmap_initial.txt TARGET

Затем можно выполнить полное сканирование TCP:

nmap -p- --min-rate 5000 -oN nmap_full.txt TARGET

Релевантные внешние сервисы:

Сервисы, привязанные только к localhost:

Доступный извне MCPJam Inspector на порту 6274 становится начальной точкой входа.

💥 CVE-2026-23744 — RCE в MCPJam Inspector

Открытый экземпляр MCPJam Inspector подвержен CVE-2026-23744.

MCPJam Inspector в первую очередь предназначен как интерфейс для разработки и тестирования MCP-серверов. Уязвимость становится особенно опасной, когда этот интерфейс доступен из недоверенной сети — уязвимая конфигурация позволяет данным, контролируемым атакующим, попасть в путь выполнения команд.

Remote Request
      │
      ▼
MCP Server Configuration
      │
      ▼
Command Execution
      │
      ▼
Initial Shell

Уязвимость затрагивает версии MCPJam Inspector вплоть до 1.4.2 включительно. Для авторизованного тестирования можно использовать публичный proof of concept для проверки уязвимости в целевой среде.

После успешной эксплуатации подтвердите контекст выполнения:

id
whoami
hostname

🕵️ Внутренняя разведка

После получения начальной точки опоры становятся видны локальные сервисы.

ss -tlnp
ps aux | grep -E 'jupyter|python|node'

                    Network
                       │
                       ▼
              MCPJam Inspector
                   :6274
                       │
                       ▼
                 Initial RCE
                       │
             ┌─────────┴─────────┐
             ▼                   ▼
        JupyterLab             OPSMCP
        :8888/local            :5000/local
             │                   │
             ▼                   ▼
            User                root

Особый интерес представляет разница в привилегиях между двумя внутренними приложениями.

🔐 Раскрытие токена JupyterLab

Процесс JupyterLab был запущен с токеном аутентификации прямо в командной строке:

--ServerApp.token=<JUPYTER_TOKEN>

Командную строку можно посмотреть через:

ps aux | grep jupyter
# or
cat /proc/<PID>/cmdline

Это демонстрирует типичную проблему управления секретами:

Secret → Command-line argument → Process metadata → Local credential disclosure

Восстановленный токен предоставляет доступ к локальному Jupyter API.

🧠 Выполнение кода в ядре JupyterLab

Jupyter предоставляет REST API для управления ядрами. После аутентификации с восстановленным токеном ядро можно создать через:

POST /api/kernels

Ответ содержит UUID ядра. Ядра Jupyter взаимодействуют через WebSockets:

/api/kernels/<KERNEL_ID>/channels

Протокол обмена сообщениями Jupyter использует сообщение execute_request для выполнения Python-кода:

{
  "header": { "msg_type": "execute_request" },
  "content": { "code": "<AUTHORIZED_LAB_CODE>" }
}

Это обеспечивает выполнение Python-кода от имени сервиса Jupyter — в данном окружении ядро выполняется как пользователь.

MCPJam RCE → JupyterLab → User

📂 Исходный код OPSMCP

Имея оболочку пользователя, следующий шаг — изучение локально установленных приложений. Приложение OPSMCP находится в:

/opt/opsmcp/

Анализ исходного кода выявляет встроенные API-учётные данные:

VALID_API_KEY = "<REDACTED_OPSMCP_API_KEY>"

Приложение также содержит две коллекции инструментов:

Видимые инструменты

• ops.system_status
• ops.list_services
• ops.check_disk
• ops.view_logs

Скрытые инструменты

• ops._admin_dump
• ops._debug_mode

Административные функции особенно интересны, потому что они не возвращаются при обычном перечислении инструментов.

Отсутствие документации не означает отсутствие доступа.

Бэкенд по-прежнему регистрирует скрытые инструменты и принимает их имена через общий механизм выполнения инструментов.

🚨 Скрытая административная функция

Приложение аутентифицирует запросы с помощью API-ключа:

X-API-Key: <OPSMCP_API_KEY>

После аутентификации конечная точка выполнения инструментов проверяет только, существует ли запрошенная функция, а не разрешено ли вызывающей стороне её выполнять.

Что происходит:

API Key → Authenticated → Tool exists? → Execute

Что должно происходить:

API Key → Authenticated → Permission check → Allowed → Execute
                                            └ Denied  → 403

Скрытая административная функция может получать доступ к чувствительным ресурсам, принадлежащим root.

🔑 Раскрытие root-учётных данных

Административный инструмент принимает цель (target), описывающую запрашиваемую информацию. Один из поддерживаемых ресурсов — root-ключ SSH:

{
  "name": "ops._admin_dump",
  "arguments": {
    "target": "ssh_keys",
    "confirm": true
  }
}

Затем приложение читает приватный SSH-ключ, принадлежащий root, что возможно, поскольку OPSMCP работает от имени root и может читать /root/*. Таким образом, приложение становится примитивом раскрытия учётных данных.

👑 root

После получения SSH-учётных данных авторизованной лаборатории сохраните их с ограничительными правами:

chmod 600 <ROOT_KEY>

Проверьте полученный контекст аутентификации:

whoami
id

Итоговый уровень привилегий: root 🎉

🗺️ Полная цепочка атак

┌──────────────────────────────┐
│       MCPJam Inspector       │
│          TCP/6274            │
└──────────────┬───────────────┘
               │ CVE-2026-23744
               ▼
┌──────────────────────────────┐
│          Initial RCE         │
└──────────────┬───────────────┘
               ▼
┌──────────────────────────────┐
│          JupyterLab          │
│        127.0.0.1:8888        │
└──────────────┬───────────────┘
               │ Token disclosure
               ▼
┌──────────────────────────────┐
│       Jupyter Kernel         │
│        WebSocket RCE         │
└──────────────┬───────────────┘
               ▼
             User
               │ Source review
               ▼
┌──────────────────────────────┐
│           OPSMCP             │
│        127.0.0.1:5000        │
│             root             │
└──────────────┬───────────────┘
               │ API key + hidden tool
               ▼
┌──────────────────────────────┐
│    Root Credential Leak      │
└──────────────┬───────────────┘
               ▼
              root

🧩 Сводка уязвимостей

🛡️ Устранение

🔍 Обнаружение

💡 Ключевые выводы

01 — Инструментарий разработчика — это поверхность атаки Инструменты, предназначенные для локальной разработки, могут стать критическими уязвимостями при доступе из недоверенных сетей.

02 — Токены Jupyter — это мощные учётные данные Доступ к токену Jupyter может дать гораздо больше, чем доступ к интерфейсу — API ядер могут обеспечить выполнение произвольного кода.

03 — Скрытое не значит защищённое Недокументированная конечная точка — это не механизм авторизации.

04 — Исходный код ценен на этапе пост-эксплуатации Исходный код приложения может сразу раскрыть механизмы аутентификации, секреты, скрытую функциональность и границы привилегий.

05 — Минимальные привилегии могут разорвать цепочки атак Если бы OPSMCP работал от непривилегированной сервисной учётной записи, итоговое воздействие было бы значительно ниже.

📚 Ссылки

• CVE-2026-23744 — удалённое выполнение кода в MCPJam Inspector
• Документация JupyterLab — архитектура ядер и API
• OWASP — Наименьшие привилегии
• OWASP — Управление секретами