CVE-2026-63127 in RMCP SDK
요약
\~에 의해 VulDB • 2026. 09. 16.
RMCP는 Model Context Protocol의 공식 Rust SDK입니다. 버전 2.0.0 이전에는 crates/rmcp/src/transport/auth.rs에 있는 rmcp 크레이트의 OAuth 구현에서 ResourceServerMetadata 내 RFC 9728 리소스 필드가 누락되어 있으며, discover_oauth_server_via_resource_metadata가 반환된 식별자가 구성된 MCP 서버와 정확히 일치하는지 확인하지 않고도 protected-resource 메타데이터를 사용할 수 있습니다. 악성 MCP 서버는 다른 합법적인 MCP 리소스와 해당 인증 서버의 메타데이터를 게시할 수 있으며, 이로 인해 연결하여 권한 부여 흐름을 완료한 피해자는 클라이언트가 이후 악성 서버로 전송하게 되는 합법적인 액세스 토큰을 획득하게 됩니다. 공격자는 이 토큰을 가로채서 토큰이 부여된 범위 내에서 피해자를 가장하여 합법적인 MCP 리소스에 대한 권한을 행사할 수 있습니다. 이 문제는 버전 2.0.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.