MCPJam Inspector 授权安全验证器

一个针对影响易受攻击 MCPJam Inspector 部署的 CVE-2026-23744 的有界概念验证验证器。

该项目是一个独立的、非破坏性的验证工具，用于先前披露的 CVE-2026-23744。它不是原始漏洞披露或漏洞利用。

此仓库旨在供安全专业人员在验证他们拥有或已获得明确书面授权的系统时使用。

重要提示

此验证器通过使目标 MCPJam Inspector 进程执行一个固定的、非交互式的证据命令来确认暴露风险。它不提供通用的漏洞利用框架、shell、后利用工作流、持久化机制、凭据访问例程或权限提升能力。

仅在你拥有或已获得明确书面许可的资产上运行此工具。未经授权的测试可能违反法律、合同、可接受使用政策或交战规则。

漏洞摘要

• CVE： CVE-2026-23744
• 安全公告： GHSA-232v-j27c-5pp6
• 受影响产品： MCPJam Inspector
• 受影响版本： 1.4.2 及以下
• 已修复版本： 1.4.3
• 漏洞类型： 未认证远程命令执行
• 受影响端点： /api/mcp/connect
• 影响： 远程未认证攻击者可能能够使易受攻击的 MCPJam Inspector 服务启动攻击者控制的 MCP 服务器进程。

目的

此仓库的目的是为授权的安全评估提供一个安全、有界且可审计的验证工作流。

它旨在帮助防御者、资产所有者、顾问和内部安全团队确定特定的 MCPJam Inspector 部署是否仍然容易受到 CVE-2026-23744 的攻击，而无需执行不必要的破坏性操作或收集敏感数据。

安全特性

此验证器有意受限：

• 需要操作员提供目标。
• 运行前需要 --authorized 确认。
• 仅执行固定的、非破坏性的证据命令。
• 不接受来自 CLI 的任意操作系统命令。
• 不建立交互式 shell。
• 不访问凭据。
• 不读取敏感的应用程序数据。
• 不创建持久化。
• 不尝试权限提升。
• 不尝试横向移动。
• 限制返回的证据，以减少意外数据暴露。
• 验证后删除临时 MCP 会话。
• 生成适合评估记录的结构化 JSON 输出。
• 不包含客户、实验室、凭据或目标特定数据。

验证器的作用

从高层次看，验证器：

1. 检查操作员是否提供了所需的授权标志。
2. 连接到目标 MCPJam Inspector 端点。
3. 尝试使用固定的本地响应器创建一个临时的 MCP 服务器会话。
4. 从该临时会话请求一个固定的证据命令。
5. 捕获目标服务返回的有限证据。
6. 删除临时 MCP 会话。
7. 打印或写入结构化的 JSON 评估结果。

证据命令有意限于基本的运行时上下文，如身份、主机名、工作目录和内核信息。它仅用于证明在 MCPJam Inspector 服务帐户下的代码执行能力。

验证器没有做的事情

此工具不执行：

• 向操作员提供任意命令执行。
• 提供反向 shell 或绑定 shell。
• 下载或执行外部 payload。
• 从目标读取文件。
• 转储环境变量。
• 收集令牌、密钥、cookies、SSH 密钥或凭据。
• 修改系统配置。
• 安装软件。
• 创建用户。
• 更改权限。
• 尝试权限提升。
• 尝试持久化。
• 尝试横向移动。
• 尝试数据外泄。

要求

• 评估工作站上的 Python 3.9 或更高版本。
• 从评估工作站到 MCPJam Inspector 服务的网络访问。
• 测试目标系统的授权。
• 目标端的 MCP 服务器执行环境必须支持验证器使用的命令。

验证器专为授权的评估环境设计，应从可信的管理工作站执行。

安装

克隆仓库：

git clone https://github.com/kennedy-aikohi/mcpjam-cve-2026-23744-validator.git
cd mcpjam-cve-2026-23744-validator

不需要第三方 Python 依赖。

使用

基本验证：

python mcpjam_authorized_validator.py \
  --target http://inspector.example.internal:6274 \
  --authorized

将 JSON 报告写入磁盘：

python mcpjam_authorized_validator.py \
  --target http://inspector.example.internal:6274 \
  --authorized \
  --output assessment-result.json

目标格式示例：

http://127.0.0.1:6274
http://inspector.example.internal:6274
https://inspector.example.internal

必需的授权标志

--authorized 标志是设计上必需的。

示例：

python mcpjam_authorized_validator.py --target http://127.0.0.1:6274 --authorized

没有此标志，验证器将退出并且不运行评估。

这是一个有意的保护措施，确保操作员明确确认他们有权测试目标。

退出码

验证器使用对 CI 流水线和自动化安全检查有用的退出码：

返回码 1 并不意味着验证器崩溃。这意味着目标似乎存在漏洞，结果应被视为安全发现。

输出格式

验证器返回结构化的 JSON，类似于以下内容：

{
  "timestamp_utc": "2026-06-09T13:00:00Z",
  "target": "http://inspector.example.internal:6274",
  "endpoint": "/api/mcp/connect",
  "authorized": true,
  "vulnerable": true,
  "http_status": 200,
  "evidence": {
    "identity": "uid=1000(mcpjam) gid=1000(mcpjam)",
    "hostname": "inspector-host",
    "working_directory": "/app",
    "kernel": "Linux 6.x"
  },
  "error": null
}

确切字段可能因目标行为、网络条件和服务响应而有所不同。

解释结果

存在漏洞的结果

存在漏洞的结果意味着未认证的 MCP 连接端点启动了验证器的固定进程并返回了证据。

将其视为在 MCPJam Inspector 服务帐户下的远程代码执行。

建议的响应：

1. 将 JSON 输出记录为评估证据。
2. 确认暴露的服务所有者和业务上下文。
3. 如果服务可从不受信任的网络访问，立即限制对该服务的访问。
4. 将 MCPJam Inspector 升级到已修复版本。
5. 审查服务日志中是否有对 /api/mcp/connect 的意外请求。
6. 审查服务帐户权限。
7. 如果有理由相信服务帐户能够访问敏感材料，则轮换密钥。

无漏洞的结果

无漏洞的结果意味着验证器未确认执行。

这可能表明：

• 目标已打补丁。
• 目标不是 MCPJam Inspector。
• 端点不可达。
• 服务受到网络控制的保护。
• 服务行为与易受攻击的版本不同。
• 目标环境不支持验证器的固定响应器。

无漏洞的结果不应单独被视为完整的安全评估。应单独确认版本、暴露情况、认证要求和网络访问控制。

操作指导

在运行验证器之前：

1. 确认书面授权。
2. 确认目标主机名、IP 地址和端口。
3. 确认测试窗口和交战规则。
4. 确认服务是生产、暂存还是实验室基础设施。
5. 如果参与流程要求，通知相关人员。

运行验证器之后：

1. 保存 JSON 输出。
2. 捕获使用的确切命令。
3. 记录评估时的 UTC 时间戳。
4. 记录用于验证的源 IP 地址。
5. 保留相关服务日志。
6. 记录修复措施和负责人分配。

推荐报告语言

如果验证器确认暴露，发现可描述为：

MCPJam Inspector 服务被确认存在 CVE-2026-23744 漏洞。
在授权验证期间，未认证的 /api/mcp/connect 端点导致该服务启动了一个固定的、非破坏性的证据命令并返回了运行时上下文。
这确认了在 MCPJam Inspector 服务帐户下的远程代码执行。未尝试权限提升、凭据访问、持久化、横向移动或敏感数据访问。

修复措施

建议的修复步骤：

1. 将 MCPJam Inspector 升级到 1.4.3 或更高版本。
2. 移除对 Inspector 服务的公开或不受信任的网络访问。
3. 将管理工具绑定到 127.0.0.1 或受信任的管理接口。
4. 在进程启动操作前要求认证和授权。
5. 将服务置于受信任的 VPN、堡垒主机或管理网络之后。
6. 在主机防火墙、安全组和网络 ACL 层限制入站访问。
7. 审查服务帐户权限并尽可能减少权限。
8. 如果服务帐户能够访问敏感材料，则轮换可能已暴露的密钥。
9. 检查日志中是否有对 /api/mcp/connect 的意外请求。
10. 监控由 MCPJam Inspector 服务产生的可疑子进程。

检测思路

防御者可以审查以下遥测源：

• 对 /api/mcp/connect 请求的 HTTP 访问日志。
• MCPJam Inspector 主机的进程创建日志。
• Inspector 服务产生的意外子进程。
• 从 Inspactor 主机到不受信任目标的网络连接。
• 新的或不寻常的 MCP 服务器会话。
• 在 0.0.0.0 上暴露的管理服务。
• 显示从不受信任网络访问 Inspactor 端口的防火墙日志。

示例检测逻辑：

查找对 /api/mcp/connect 的未认证或意外请求，随后是由 MCPJam Inspector 服务帐户产生的新的子进程。

局限性

此验证器有意受限，不应被视为完整的安全扫描器。

已知限制：

• 仅验证一个漏洞类别。
• 不将版本指纹识别作为唯一真相来源。
• 不测试后利用影响。
• 不验证所有可能的 MCPJam Inspector 部署配置。
• 如果网络控制、服务行为、运行时环境或响应格式阻止证据收集，可能返回假阴性。
• 如果目标端执行环境缺少预期的解释器或运行时行为，可能失败。
• 不能取代补丁验证、日志审查或配置审查。

安全设计说明

验证器被设计为可审计且受限。

重要的实现选择：

• 操作员无法提供任意命令。
• 证据命令在源代码中是固定的。
• 返回的证据有上限。
• 工具要求显式的授权确认。
• 验证后尝试清理临时 MCP 会话。
• JSON 输出支持可重复的评估记录。
• 对 CI 友好的退出码允许防御者在确认暴露时使构建或检查失败。

负责使用

仅针对你拥有或获得明确许可测试的资产使用。

用户有责任遵守适用的法律、合同、内部政策和交战规则。

请勿将此工具用于未经授权的测试、互联网范围的扫描、凭据访问、持久化、权限提升、数据盗窃或破坏。

归属

此仓库是一个独立的授权验证项目。

它不是原始漏洞披露、供应商公告或漏洞利用发布。

主要参考资料：

• GitHub 安全公告：https://github.com/MCPJam/inspector/security/advisories/GHSA-232v-j27c-5pp6
• NVD CVE 记录：https://nvd.nist.gov/vuln/detail/CVE-2026-23744
• GitHub 公告数据库：https://github.com/advisories/GHSA-232v-j27c-5pp6

许可证

本项目根据此仓库中包含的许可证发布。

维护者备注

推荐的仓库管理：

• 保持验证器非破坏性。
• 不要添加任意命令执行标志。
• 不要添加反向 shell 功能。
• 不要添加凭据访问功能。
• 不要在示例中包含真实目标数据。
• 保持评估输出有界。
• 在 README 和 CLI 帮助中保留授权语言。
• 保留对原始安全公告和 NVD 记录的引用。