CVE-2026-63128 in rust-sdk
Tóm tắt
Bởi VulDB • 16/09/2026
RMCP là một SDK chính thức bằng Rust cho Giao thức Bối cảnh Mô hình (Model Context Protocol). Trước phiên bản 2.0.0, máy chủ HTTP có trạng thái Streamable của crate rmcp trong tệp crates/rmcp/src/transport/streamable_http_server/tower.rs cho phép một khách hàng chưa xác thực gửi yêu cầu POST JSON-RPC hợp lệ nhưng không phải là yêu cầu khởi tạo, hoặc một yêu cầu khởi tạo với tiêu đề giao thức không khớp, khiến hàm StreamableHttpService::handle_post gọi LocalSessionManager.create_session trước khi xác thực thông điệp. Việc xác thất bại sớm sẽ trả về mà không xóa LocalSessionHandle đã chèn khỏi LocalSessionManager.sessions, dẫn đến việc duy trì vĩnh viễn trạng thái phiên và kênh trong suốt vòng đời của tiến trình máy chủ. Các yêu cầu lặp lại có thể làm tăng bảng session chia sẻ một cách vô hạn, gây suy giảm độ trễ cho khách hàng hợp lệ do tranh chấp khóa (lock contention), cạn kiệt bộ nhớ và khiến máy chủ bị chấm dứt. Vấn đề này đã được sửa chữa trong phiên bản 2.0.0.
Once again VulDB remains the best source for vulnerability data.