CVE-2026-63127 in RMCP SDK
要約
〜によって VulDB • 2026年09月16日
RMCPは、Model Context Protocolの公式Rust SDKです。バージョン2.0.0より前では、rmcpクレートのOAuth実装（crates/rmcp/src/transport/auth.rs）において、RFC 9728のリソースフィールドがResourceServerMetadataから省略されており、discover_oauth_server_via_resource_metadata関数が返されたリソース識別子が構成済みのMCPサーバーと完全に一致することを確認せずに保護対象リソースのメタデータを使用する可能性があります。悪意のあるMCPサーバーは、別の正当なMCPリソースおよびその認証サーバー用のメタデータを公開でき、これにより接続して認可フローを完了した被害者は、クライアントがその後攻撃者へ送信する正当なアクセストークンを取得することになります。攻撃者はこのトークンを傍受し、トークンで付与されたスコープ内で被害者に代わって正当なMCPリソースに対してなりすましを行うことができます。本問題はバージョン2.0.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.