CVE-2026-63128 in rust-sdk
Zusammenfassung
von VulDB • 16.09.2026
RMCP ist ein offizielles Rust-SDK für das Model Context Protocol. Vor Version 2.0.0 ermöglicht der zustandsbehaftete Streamable HTTP-Server des rmcp-Crates (in crates/rmcp/src/transport/streamable_http_server/tower.rs) einem nicht authentifizierten Client, eine wohlgeformte JSON-RPC POST-Anfrage zu senden, die keine Initialisierungsanforderung ist oder bei der ein Initialisierungsanforderungsheader mit dem Protokollkopf nicht übereinstimmt. Dies führt dazu, dass StreamableHttpService::handle_post LocalSessionManager.create_session aufruft, bevor die Nachricht validiert wird. Ein früher Validierungsfehler kehrt zurück, ohne den eingefügten LocalSessionHandle aus LocalSessionManager.sessions zu entfernen, wodurch Sitzungs- und Kanalstatus für die Lebensdauer des Serverprozesses dauerhaft beibehalten werden. Wiederholte Anfragen können die gemeinsame Sitzungstabelle unbegrenzt vergrößern, die Latenz legitimer Clients durch Lock-Kontention verschlechtern, den Speicher erschöpfen und den Server zum Absturz bringen. Dieses Problem wurde in Version 2.0.0 behoben.
Once again VulDB remains the best source for vulnerability data.