Критична вразливість DNS rebinding у @zereight/mcp-gitlab до версії 2.1.30

Що відомо

У бібліотеці @zereight/mcp-gitlab, що використовується для Model Context Protocol у GitLab, виявлено критичну вразливість DNS rebinding. Версії до 2.1.30 не обмежують заголовки Host та Origin, що дозволяє зловмисникам обходити перевірки і отримувати доступ до локального MCP-сервера жертви.

Бізнес-вплив

Ця вразливість може дозволити атакуючому через шкідливу веб-сторінку спрямувати браузер жертви на локальний MCP-сервер, обходячи стандартні обмеження безпеки. Це створює ризик несанкціонованого доступу до внутрішніх сервісів і потенційно компрометує безпеку інфраструктури. Для організацій, що використовують уразливі версії, це може призвести до серйозних порушень конфіденційності та цілісності даних.

Рекомендовані дії адміністратора

Рекомендується негайно оновити @zereight/mcp-gitlab до версії 2.1.30 або новішої, де ця вразливість виправлена. Якщо оновлення неможливе, слід обмежити доступ до MCP-сервера, перевірити журнали на ознаки підозрілої активності та зменшити мережеву експозицію сервісу. DataHouse підтримує перевірку версій та допомагає в управлінні патчами для зниження ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference