Dodge1218

Certos caminhos de cliente no SDK seguem redirecionamentos HTTP para origens diferentes, o que pode levar à exposição de informações sensíveis. Especificamente, ao usar `streamable http client`, `streamablehttp client`, `sse client`, `ClientSessionGroup`, `OAuth` ou o auxiliar `create mcp http client`, o SDK encaminha cabeçalhos de credenciais personalizados fornecidos pelo chamador para o destino do redirecionamento. Além disso, para respostas HTTP 307 ou 308, o corpo da requisição também é encaminhado. Um invasor capaz de influenciar o destino do redirecionamento de um endpoint confiável pode capturar essas credenciais e corpos de requisição.

Transportes de cliente HTTP e solicitações de cliente OAuth seguem redirecionamentos para origens diferentes, mantendo cabeçalhos de solicitação personalizados e o cabeçalho `mcp-session-id`. Para respostas HTTP 307 ou 308, os corpos das solicitações também são mantidos. Este comportamento afeta `StreamableHTTPClientTransport`, `SSEClientTransport` e funções de cliente OAuth, como `auth()`. Um servidor MCP ou de autorização malicioso ou comprometido poderia explorar isso para receber informações sensíveis, incluindo chaves de API, identificadores de sessão, tokens de atualização OAuth ou segredos de cliente OAuth. Isso ocorre quando uma solicitação é redirecionada para outra origem.

A ausência de autenticação no manipulador POST de streams em tempo real permite que invasores não autenticados injetem dados arbitrários em streams de execução em qualquer ambiente, incluindo produção. Isso ocorre porque o manipulador `action` no arquivo `apps/webapp/app/routes/realtime.v1.streams.$runId.$streamId.ts` não possui um wrapper de autenticação. Além disso, o sistema realiza a busca de execuções usando a variável `friendlyId` sem verificar o `runtimeEnvironmentId`, e esses identificadores seguem padrões previsíveis. O endpoint de API afetado é '/realtime/v1/streams/:runId/:streamId'.

O comando de início rápido do Docker inicia o contêiner ouvindo em 0.0.0.0:8080 com a autenticação desativada por padrão. Neste estado, cada solicitação é mapeada para um usuário sintético "nobody" que possui as funções de Proprietário e Administrador. Isso permite que qualquer parte não autenticada com acesso à porta exposta obtenha acesso administrativo total à API e à interface do usuário, permitindo o registro e o lançamento de servidores MCP (Model Context Protocol) controlados por atacantes. Além disso, como o início rápido monta o `/var/run/docker.sock` no contêiner, o backend de tempo de execução do MCP pode acessar a superfície de controle do Docker do host.

Usuários autenticados com a função de Viewer ou superior podem realizar a injeção de SQL ao fornecer nomes de chaves de campo de telemetria especialmente manipulados. A aplicação falha ao escapar adequadamente esses nomes no endpoint de API 'v5 query range', permitindo que atacantes usem crases e aspas para romper identificadores e literais de string. Isso possibilita a execução de comandos SQL arbitrários do ClickHouse para acessar tabelas do sistema e exfiltrar dados.

Quando o `API TOKEN` não está configurado ou está vazio, o `BearerTokenAuthMiddleware` ignora a autenticação para todas as solicitações HTTP. Este problema, combinado com a vinculação de host padrão 0.0.0.0 e o CORS `allow origins` definido como `*`, permite que qualquer cliente acessível via rede local acesse a API completa de leitura/escrita do Knowledge-Graph. Um invasor na mesma rede pode ler, escrever ou excluir todas as entradas de memória, incluindo as URIs `system://boot` e `core://*` que são carregadas automaticamente em sessões de agentes subsequentes, o que pode levar à injeção persistente de prompts.

Nos modos de transporte SSE e Streamable HTTP, o plano de controle MCP é exposto sem autenticação e utiliza CORS (Cross-Origin Resource Sharing) com curinga, o que permite qualquer origem, método ou cabeçalho. Essa configuração permite que origens arbitrárias ou clientes que não sejam navegadores acessem o plano de controle. Como o servidor também expõe uma ferramenta `PowerShell` que executa comandos controlados pelo chamador através da variável `command` como o usuário do Windows que executa a aplicação, um invasor pode conseguir a execução arbitrária de comandos PowerShell. O problema decorre da função ` http middleware()` instalar o `CORSMiddleware` com políticas de curinga e a função ` build mcp()` construir a instância sem um provedor de autenticação. A falha é acionada especificamente ao usar o endpoint '/mcp' para inicializar uma sessão e invocar a função `tools/call` para a ferramenta `PowerShell`.

O Gryph implementa níveis de log para controlar o conteúdo armazenado em um banco de dados sqlite local. O nível de log padrão está definido como `standard`, embora a documentação indique incorretamente que seja `minimal`. Nos níveis de log `standard` e `full`, conteúdos sensíveis de `file-write` são mantidos no `payload` armazenado através das variáveis `ContentPreview`, `OldString` ou `NewString`. Isso resulta no registro de conteúdo de arquivos potencialmente sensíveis, ignorando o filtro de arquivos sensíveis e os contratos de nível de log. Este problema pode levar à exposição de dados sensíveis caso o banco de dados sqlite local seja roubado ou exportado para um sistema remoto.