Что произошло
9 июля 2025 года исследовательская команда JFrog раскрыла уязвимость CVE-2025-6514 в пакете mcp-remote, который используют Claude Desktop, Cursor, Windsurf и другие клиенты для связи с удалёнными MCP-серверами. Уязвимость затрагивала версии с 0.0.5 по 0.1.15. Сопровождающий проекта Glen Maddern выпустил исправленную версию 0.1.16 17 июня 2025 года, до публичного раскрытия. По оценке JFrog, это первый показанный на практике случай полного удалённого выполнения кода в ОС клиента при подключении к недоверенному MCP-серверу. На Windows уязвимость давала выполнение произвольных команд, на macOS и Linux — запуск произвольных программ с ограниченным контролем параметров.
Где нарушилась защита
При подключении mcp-remote проходит процедуру авторизации OAuth и получает от сервера адрес страницы входа. Клиент без проверки передавал этот адрес системе для открытия в браузере, и специально сформированное значение интерпретировалось как команда. Граница доверия нарушилась в том, что данные от удалённого сервера считались безопасными и попадали в контекст выполнения на локальной машине.
Последствия
- Риск полного захвата рабочей станции разработчика при подключении к недоверенному MCP-серверу
- Затронут широко используемый пакет: более 437 тысяч загрузок
- Под угрозой ключи, токены и код, доступные на машине пользователя
Реакция
Сопровождающий выпустил исправление в версии 0.1.16. JFrog рекомендовала срочно обновиться и подключаться только к доверенным MCP-серверам по HTTPS.
Уроки для бизнеса
- Вспомогательные пакеты MCP-экосистемы входят в поверхность атаки так же, как основные приложения
- Подключение к внешнему MCP-серверу — это доверие к его ответам, а не просто сетевое соединение
- Рабочие станции разработчиков с AI-клиентами нужно учитывать в управлении уязвимостями
Меры, которые предотвратили бы инцидент
- Инвентаризировать MCP-клиенты и вспомогательные пакеты на рабочих станциях
- Обновить mcp-remote до версии 0.1.16 или новее и контролировать версии централизованно
- Разрешить подключение только к утверждённому списку MCP-серверов по HTTPS
- Запускать AI-клиенты с минимальными правами в ОС