AWS julkaisi 10. marraskuuta tietoturvatiedotteen ja GitHubiin tietoturvailmoituksen viasta, joka koskee AWS API MCP Serverin omia tietoturvakäytäntöjä. Vika on versioissa 0.2.13–1.5.0.

AWS API MCP Server on avoimen lähdekoodin MCP-palvelin, jota käyttäjä ajaa itse. MCP on protokolla, jonka kautta tekoälyavustaja käyttää ulkoisia työkaluja. Tässä tapauksessa avustaja hallitsee AWS-tiliä AWS:n rajapintakutsuilla. Ylläpitäjä voi määritellä palvelimelle oman tietoturvakäytännön. Siinä denyList-listaan merkityt toiminnot estetään, ja elicitList-listaan merkityt vaativat käyttäjän vahvistuksen ennen suoritusta.

Miksi säännöt eivät tehonneet

Palvelin muuntaa toimintojen nimet yhtenäiseen muotoon ennen kuin vertaa niitä käytäntöön. AWS:n mukaan palvelin muunsi väärin nimet, joissa on peräkkäisiä isoja kirjaimia. Siksi oikein kirjoitettukaan denyList- tai elicitList-merkintä ei koskaan täsmännyt tällaiseen toimintoon.

CVE-kuvauksen mukaan vika saattoi päästää läpi toimintoja useista eri AWS-palveluista. GitHub-ilmoituksen esimerkkejä ovat federoidun identiteetintarjoajan luominen, MFA-laitteen (monivaiheinen tunnistautuminen) poistaminen käytöstä ja tietokantaklustereiden poistaminen.

Keitä vika koskee

Vika vaikuttaa vain paikallisesti ajettavaan palvelimeen, jonka omassa käytännössä on lueteltu vian koskemia toimintoja. Lisäksi käyttäjän pitää käyttää tekoälyavustajaa. AWS:n etäpalveluna tarjoama AWS API MCP Server ei ole haavoittuvainen. Vika ei myöskään koske asetuksia READ_OPERATIONS_ONLY ja REQUIRE_MUTATION_CONSENT.

CVE-tietue ja GitHub-ilmoitus luokittelevat vian vakavaksi (High), ja sen CVSS 4.0 -pistemäärä on 8,5. AWS:n omassa tiedotteessa luokka on Important.

Päivitys on ainoa korjaus

AWS:n mukaan vian korjaa vain päivitys vähintään versioon 1.5.1, eikä kiertotietä ole. Yhtiö kehottaa paikkaamaan myös palvelimesta tehdyt haarat (forkit) ja muut johdannaiset.

Japanilainen teknologiasivusto Tech InnovateIT muistuttaa, että MCP-palvelin on käynnistettävä päivityksen jälkeen uudelleen. Sivuston mukaan IAM-oikeuksien rajaaminen on lisäsuoja, mutta se ei korvaa päivitystä. Sivusto neuvoo kokeilemaan estoja ja vahvistuspyyntöjä kehitys- tai testiympäristössä, ei tuotantotilillä.

Tech InnovateIT:n mukaan PyPI:ssä uusin versio oli 11. marraskuuta 1.6.0, joka korjaa myös erillisen OAuth-tarkistuksen puutteen. Sivuston mukaan kehittäjän erillinen tietoturvailmoitus neuvoo asettamaan odotetun token audiencen tai client ID:n, kun versiota 1.6.0 käytetään streamable-http-siirron ja OAuthin kanssa. Asetusta ei tarvita kaikissa kokoonpanoissa, esimerkiksi stdio-käytössä.

Sivuston mukaan PyPI ohjaa käyttäjät seuraajaksi nimettyyn AWS MCP Serveriin. Sivusto kertoo, että kehittäjän siirto-ohjeen mukaan uusien ominaisuuksien kehitys päättyi 15.7.2026 ja palvelin on määrä poistaa 15.7.2027.