CVE-2026-63128 in rust-sdk
要約
〜によって VulDB • 2026年09月16日
RMCPは、Model Context Protocolの公式Rust SDKです。バージョン2.0.0より前では、crates/rmcp/src/transport/streamable_http_server/tower.rsにあるrmcpクレートのステートフルStreamable HTTPサーバーにおいて、認証されていないクライアントが初期化リクエストではない整形式のJSON-RPC POSTを送信するか、プロトコルヘッダーの不整合のある初期化リクエストを送信すると、メッセージの有効性検証前にLocalSessionManager.create_sessionを呼び出すStreamableHttpService::handle_postが発生します。早期バリデーション失敗時に、挿入されたLocalSessionHandleがLocalSessionManager.sessionsから削除されずに残るため、サーバープロセスの存続期間中、セッションおよびチャネルの状態が永久的に保持されます。繰り返しリクエストを送信すると共有セッションテーブルが無制限に肥大化し、ロック競合により正当なクライアントのレイテンシーが悪化したり、メモリを枯渇させたりしてサーバーを終了させる可能性があります。この問題はバージョン2.0.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.