CVE-2026-63128 in rust-sdk
요약
\~에 의해 VulDB • 2026. 09. 16.
RMCP는 Model Context Protocol의 공식 Rust SDK입니다. 버전 2.0.0 이전에는 crates/rmcp/src/transport/streamable_http_server/tower.rs에 있는 rmcp 크레이트의 상태 유지형 Streamable HTTP 서버에서, 인증되지 않은 클라이언트가 초기화 요청이 아닌 정당한 JSON-RPC POST를 보내거나 프로토콜 헤더가 일치하지 않는 초기화 요청을 보낼 경우, 메시지 유효성 검사 전에 LocalSessionManager.create_session을 호출하도록 하는 StreamableHttpService::handle_post 메서드가 존재합니다. 조기 검증 실패 시 삽입된 LocalSessionHandle이 LocalSessionManager.sessions에서 제거되지 않아 서버 프로세스 수명 동안 세션 및 채널 상태가 영구적으로 유지됩니다. 반복적인 요청은 공유 세션 테이블의 크기를 무제한으로 증가시키고, 잠금 경쟁을 통해 정당한 클라이언트의 지연 시간을 악화시키며, 메모리를 고갈시켜 서버를 종료시킬 수 있습니다. 이 문제는 버전 2.0.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.