MCP セキュリティ脆弱性:パッチ適用前に露出を証明する

フィードにMCP脆弱性が現れた場合、最初の運用上の質問は「見出しの深刻さはどれほどか?」ではありません。それはこうです: このアドバイザリーは実際に私のエージェントパス上で実行中のコンポーネントに届いていますか? エクスプロイトを実行する前に、すべてのパッケージを大量に更新する前に、クリーンスキャンで十分だと宣言する前に、必ず答えてください。擁護可能な評決は、5つの証拠に加わります。 1. 正確なアドバイザリーとパッケージの識別; 2. インストールされた および起動 版; 3. アドバイザリー出版社の影響範囲の結果; 4. 脆弱な侵入点の到達可能性と一時的な対策; 5. 修復後のツールプローブと、意図した作業結果の領収書。 その結合は、 absent 、 unknown 、 not affected 、 affected not reachable 、 exposed 、 patched unverified 、 remediation regression 、または remediated といった少数の有用な状態を生成します。また、パッケージプレゼンスを確認された露出とみなし、成功したアップグレードコマンドをリカバリーとして扱うという2つの危険なショートカットも防ぎます。 応答を選ぶ前に、露出のつながりを築きましょう 脆弱性カタログは発見に役立ちますが、実行時のインベントリではありません。アドバイザリーは、ロックファイルにのみ現れるパッケージ、放棄された環境、起動されないコンテナレイヤー、または推移的な開発依存関係を指定することがあります。逆失敗はさらに悪いです。MCPクライアントがラッパーやグローバルインストールを通じてパッケージを起動し、リポジトリスキャンが一度もチェックしなかった場合もあります。 MCPプロセスを所有するランタイム境界から証拠を集めます。プロンプト、ツールの引数、トークン、絶対パス、ビジネスデータのアップロードはしないでください。コンパクトレシートは次のような形になります: matchStatus は、エコシステムのバージョン構文を理解するパッケージマネージャー、SBOMツール、または構造化アドバイザリーフィードから提供されるべきです。バージョンの文字列を語彙的に比較しないでください。レビュー済みのGitHubアドバイザリー mcp remote 例えば、レコードは最初のパッチ適用版と同じくらい影響を受け、 = 0.0.5, < 0.1.16 0.1.16 します。レビューされたアドバイザリー @modelcontextprotocol/server filesystem レガシー範囲と日付ベースのラインの両方を含み、 2025.7.1 がそのラインの最初のパッチ適用リリースです。手書きの比較器1台では両方の方式を正規化するには適していません。 パッケージやバージョンの証拠は依然として到達可能性を決定づけていません。現在のバージョンMCP セキュリティのベストプラクティス構成がなぜ重要なのかを示しています。その混乱した副官分析では、固定的な第三者クライアントIDを使用するプロキシ、動的クライアント登録、同意クッキー、クライアントごとの同意の欠如など、複数の条件が一致しなければならないとされています。同じ指針とMCP認可仕様トークンパススルーを禁止し、リソースサーバーにトークンが発行されたことを検証することを求めます。 これらのコントロールは、一般的な「セキュリティ有効」チェックボックスではなく、曝露特化した領収書の欄にすべきです。認可アドバイザリーの場合は、オーディエンス検証、リダイレクトマッチング、同意所有権、プロキシ行動を収集してください。ファイルシステムのアドバイザリーとしては、起動されたサーバーバージョン、許可されたルート、到達可能なツールサーフェス、そして影響を受けたエントリポイントを利用不能にする正確な緩和策を収集してください。コマンドインジェクションのアドバイザリーでは、クライアントラッパー、バージョン、リモートサーバーの信頼境界、そしてその接続経路が呼び出せるかどうかを収集します。 無効化されたエントリーポイントを持つ影響を受けたコンポーネントは affected not reachable であり、 not affected ではありません。それは有効な封じ込め証拠ですが、期限切れになります。パッチの所有者と期限を記録してください。設定編集、デプロイメントのロールバック、または新しいクライアントでパスに再び到達可能になることがあります。 エクスプロイトではなく、コンテンツのない分類器を実行してください 事故の回避に兵器化ペイロードは必要ありません。以下の決定ルールは意図的に保守的です: 州名は次の決定を符号化しています: 州 証拠が証明していること 次の行動は限定的だ absent 指定されたコンポーネントは検査された実行時境界に存在しません この境界の在庫範囲と閉鎖を記録してください unknown アイデンティティ、バージョン、アドバイザリーマッチ、または到達可能性が欠落または矛盾している 不確実性を保つこと;最初の欠落フィールドを解決する not affected インストールされたコンポーネントはパブリッシャーの影響範囲外にあります 供給源と新鮮さを保持すること;類似したパッケージ名から保護を推測しないでください affected not reachable 影響を受けたコードは存在しますが、名前のあるエントリーポイントは検証済みの収容によってブロックされています 封じ込めを維持し、パッチ所有者を割り当て、期限を設定します exposed 影響を受けたバージョンと到達可能なエントリーポイントは一致します パスを封じ込め、不要な権限を取り消し、パッチを当てます patched unverified バージョンは範囲外に移動しましたが、機能的な証拠は不完全です 安全なカナリアツールプローブを実行し、目的地の確認をしてください remediation regression パッチや封じ込めは必要なツールや結果を壊してしまいました 危険な道を封じ込め、互換性の修復、またはレビュー済みロールバックの使用 remediated バージョン、安全なツールの挙動、意図された結果はすべて合格します 鮮度を監視し、証拠領収書で締めくくりましょう 私はそのルールを、各州ごとに1件ずつ、内容のない8件のケースで適用しました。8人すべてが予想通りの結果を達成しました。最も価値のあるケースは、 @modelcontextprotocol/server filesystem アドバイザリーのパッチ適用リリースに載っているが、そのセーフツールプローブが失敗するという点だ。分類器は remediation regression ではなく remediated を返します。 この境界線は重要です。なぜなら、セキュリティ作業はエージェントの健康インシデントを引き起こす可能性があるからです。依存関係の更新は、起動コマンド、能力スキーマ、許可されたroot、OAuthフロー、クライアント互換性を変更することがあります。脆弱なコードは、エージェントの必須作業がまだ壊れている間に消えることもあります。 レシートには制限があります。未知のエクスプロイトがコンポーネントに到達できないことを証明するものではありません。疑わしい侵害の後に法医学的証拠を置き換えるものではありません。また、正確なパッケージの識別や最新のアドバイザリーデータに依存します。もし2つの資料が意見が異なる場合は、 unknown 返却し、両方の参照を保存してください。そのCVE 2025 6514のNVD記録例えば、 mcp remote コマンドインジェクションの問題に関する追加の日付レコードを提供しますが、パッケージ範囲はマッチャーが使用する正確なレビュー済みアドバイザリーに紐づくべきです。 エージェントの健康状態を保つシーケンスでパッチを 封じ込めと修復は爆風半径が異なるため、別々の承認が必要です。実用的な手順は以下の通りです: 1. 身元を凍結する。 アドバイザリーID、パッケージ、起動バージョン、クライアントまたはサーバー所有者、証拠時間を記録してください。 2. 名前付きパスを含め。 利用可能な最小の可逆変更で脆弱なサーバー、リモート接続、ツール、または認可ルートを無効化してください。 3. 権限を削減する。 そのコンポーネントに関連する不要な認証情報や権限を取り消す。秘密は暴露証拠や方針が要求する場合のみローテーションしてください。ローテーションは有用な証拠を破壊し、無関係な停電を引き起こすことがあります。 4. パブリッシャー対応の修正をインストールしてください。 任意の最新バージョンではなく、名前付きのパッチ付き行を使い、パッケージマネージャの結果を保持してください。 5. 本物の所有者を再起動してください。 ロックファイルやイメージタグの更新だけでは、長期間稼働しているエージェントクライアントが古いプロセスを所有している場合には不十分です。 6. 安全なツールプローブを実行してください。 合成の、権限の低いターゲットを使え。脆弱性を再生したり、カナリアを本番データに向けたりしないでください。 7. 宛先の結果を検証してください。 ファイル、チケット、レコード、メッセージ、またはその他の期待される結果が存在し、正しいことを確認します。 8. 安定性ウィンドウを監視してください。 コンポーネントが期待通りに到達可能で、脆弱範囲に再入しないこと、パッチ後に繰り返し故障しないことを確認しましょう。 ツールプローブは結果のレシートとは分けておきましょう。ファイルシステムツールは、誤った許可されたrootアドレスに書き込みしても成功を返すことがあります。チケットツールはリクエストを受け入れ、レコードが後で拒否されることがあります。MCP輸送はエージェントの納品物が欠落している間も健全な状態を保つことができます。最初の受領証は修理された能力が安全に実行できることを証明します。後者はユーザーの作品が実際に届いたことを証明します。 インシデントを終了するのは、最も強力な証拠が一致し、アドバイザリーが発射されたコンポーネントと一致しなくなり、かつて脆弱だった経路が制御され、安全なカナリアが通過し、意図された結果が確認されたときだけです。もしどのフィールドが古くなったり矛盾している場合は、緑色に塗るのではなく、その状態を明示的に残してください。 Sidewisp は現在プライベートプレビュー段階です。 その製品の方向性は、既存のエージェントランタイムの健全な層であり、具体的な証拠を表面化し、作業と待機や停滞を区別し、人間の承認を行動境界に保ち、介入後の成果を検証します。現在の一般公開体験は早期アクセスのデモンストレーションであり、出荷されたMCPスキャナーやモニタリングアダプター、自動復旧エンジンではありません。