Analityczne wykorzystywanie plików cookies
Krytyczna luka w Neo.mjs umożliwiająca wykonanie dowolnych poleceń systemowych
Krytyczna luka w Neo.mjs pozwala na wykonanie dowolnych poleceń systemowych. Zalecane szybkie patchowanie i ograniczenie dostępu do serwera MCP.
- CVSS
- 9.8 CRITICAL
- EPSS
- 76.19%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
W komponencie FileSystemService.mjs serwera MCP ai/mcp/server/file-system wykryto krytyczną lukę typu command injection. Funkcje checkSyntax() i runPlaywrightTest() nieprawidłowo wstawiają wartości absolutePath kontrolowane przez użytkownika do poleceń powłoki, co pozwala na wykonanie dowolnych poleceń systemowych przez złośliwego agenta AI.
Wpływ biznesowy
Luka o wysokiej krytyczności (CVSS 9.8) może prowadzić do pełnego przejęcia kontroli nad systemem, na którym działa serwer MCP. Atakujący mogą wykonywać dowolne polecenia systemowe, co stwarza poważne ryzyko dla integralności, poufności i dostępności infrastruktury IT. Operatorzy powinni traktować tę lukę jako priorytetową do natychmiastowego zaadresowania.
Rekomendowane działania administratora
Zaleca się niezwłoczne przejrzenie dostępnych aktualizacji i zaimplementowanie poprawki wprowadzającej commit 88c77fc. W przypadku braku natychmiastowej możliwości patchowania, należy ograniczyć dostęp do serwera MCP, monitorować logi pod kątem podejrzanej aktywności oraz weryfikować uprawnienia i ścieżki wywołań funkcji. DataHouse wspiera w weryfikacji wersji oprogramowania, zarządzaniu aktualizacjami oraz ograniczaniu ekspozycji sieciowej.