# CVE-2025-6514: выполнение команд на компьютере пользователя через mcp-remote

> JFrog обнаружила критическую уязвимость (CVSS 9.6) в mcp-remote — популярном пакете для подключения AI-клиентов к удалённым MCP-серверам. Подключение к вредоносному серверу позволяло выполнить команды операционной системы на машине пользователя. Пакет загружали более 437 тысяч раз; исправление вышло в версии 0.1.16.

- Канонический HTML: [/incidents/mcp-remote-cve-2025-6514](https://ai-first.tech/incidents/mcp-remote-cve-2025-6514)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2025-07-09
- Категория: Уязвимость платформы
- Затронуто: Пользователи npm-пакета mcp-remote версий 0.0.5–0.1.15 (клиенты Claude Desktop, Cursor, Windsurf и другие)
- Критичность: Критический
- CVE: CVE-2025-6514

## Что произошло

9 июля 2025 года исследовательская команда JFrog раскрыла уязвимость CVE-2025-6514 в пакете mcp-remote, который используют Claude Desktop, Cursor, Windsurf и другие клиенты для связи с удалёнными MCP-серверами. Уязвимость затрагивала версии с 0.0.5 по 0.1.15. Сопровождающий проекта Glen Maddern выпустил исправленную версию 0.1.16 17 июня 2025 года, до публичного раскрытия. По оценке JFrog, это первый показанный на практике случай полного удалённого выполнения кода в ОС клиента при подключении к недоверенному MCP-серверу. На Windows уязвимость давала выполнение произвольных команд, на macOS и Linux — запуск произвольных программ с ограниченным контролем параметров.

## Где нарушилась защита

При подключении mcp-remote проходит процедуру авторизации OAuth и получает от сервера адрес страницы входа. Клиент без проверки передавал этот адрес системе для открытия в браузере, и специально сформированное значение интерпретировалось как команда. Граница доверия нарушилась в том, что данные от удалённого сервера считались безопасными и попадали в контекст выполнения на локальной машине.

## Последствия

- Риск полного захвата рабочей станции разработчика при подключении к недоверенному MCP-серверу
- Затронут широко используемый пакет: более 437 тысяч загрузок
- Под угрозой ключи, токены и код, доступные на машине пользователя

## Реакция

Сопровождающий выпустил исправление в версии 0.1.16. JFrog рекомендовала срочно обновиться и подключаться только к доверенным MCP-серверам по HTTPS.

## Уроки для бизнеса

- Вспомогательные пакеты MCP-экосистемы входят в поверхность атаки так же, как основные приложения
- Подключение к внешнему MCP-серверу — это доверие к его ответам, а не просто сетевое соединение
- Рабочие станции разработчиков с AI-клиентами нужно учитывать в управлении уязвимостями

## Меры защиты

- Инвентаризировать MCP-клиенты и вспомогательные пакеты на рабочих станциях
- Обновить mcp-remote до версии 0.1.16 или новее и контролировать версии централизованно
- Разрешить подключение только к утверждённому списку MCP-серверов по HTTPS
- Запускать AI-клиенты с минимальными правами в ОС

Связанные карточки угроз: A33, A47, A38

## Первоисточники

- [Critical RCE Vulnerability in mcp-remote: CVE-2025-6514 Threatens LLM Clients](https://jfrog.com/blog/2025-6514-critical-mcp-remote-rce-vulnerability/) — JFrog
- [Critical mcp-remote Vulnerability Enables Remote Code Execution, Impacting 437,000+ Downloads](https://thehackernews.com/2025/07/critical-mcp-remote-vulnerability.html) — The Hacker News