AWS publicerade den 10 november ett säkerhetsmeddelande och en säkerhetsrapport på GitHub om ett fel som rör AWS API MCP Servers egna säkerhetspolicyer. Felet finns i versionerna 0.2.13–1.5.0.

AWS API MCP Server är en MCP-server med öppen källkod som användaren kör själv. MCP är ett protokoll som en AI-assistent använder för att nå externa verktyg. I det här fallet styr assistenten ett AWS-konto med AWS:s API-anrop. Administratören kan ställa in en egen säkerhetspolicy för servern. Åtgärder som står i denyList spärras, och de som står i elicitList kräver användarens bekräftelse innan de körs.

Därför fungerade inte reglerna

Servern omvandlar åtgärdernas namn till ett enhetligt format innan den jämför dem med policyn. Enligt AWS omvandlade servern namn med flera versaler i följd på fel sätt. Därför matchade inte ens en korrekt skriven post i denyList eller elicitList någonsin en sådan åtgärd.

Felet kunde släppa igenom åtgärder i flera olika AWS-tjänster, står det i CVE-beskrivningen. Exemplen i GitHub-rapporten är att skapa en federerad identitetsleverantör, att inaktivera en MFA-enhet (multifaktorautentisering) och att radera databaskluster.

Vilka som berörs

Felet påverkar bara en lokalt körd server vars egen policy listar åtgärder som felet gäller. Dessutom måste användaren använda en AI-assistent. Den AWS API MCP Server som AWS erbjuder som fjärrtjänst är inte sårbar. Inte heller berörs inställningarna READ_OPERATIONS_ONLY och REQUIRE_MUTATION_CONSENT.

CVE-posten och GitHub-rapporten klassar felet som allvarligt (High), och CVSS 4.0-poängen är 8,5. I AWS:s eget säkerhetsmeddelande är klassen Important.

Uppdatering är enda lösningen

Enligt AWS åtgärdas felet bara genom en uppdatering till minst version 1.5.1, och det finns ingen tillfällig lösning. Företaget uppmanar även till att patcha forkar och andra versioner som bygger på servern.

Den japanska teknikwebbplatsen Tech InnovateIT påminner om att MCP-servern måste startas om efter uppdateringen. Att begränsa IAM-behörigheterna ger extra skydd men ersätter inte uppdateringen, skriver webbplatsen. Den rekommenderar att spärrar och bekräftelsefrågor prövas i en utvecklings- eller testmiljö, inte på ett produktionskonto.

Den 11 november var den senaste versionen på PyPI 1.6.0, som även åtgärdar en separat brist i OAuth-kontrollen, uppger Tech InnovateIT. Utvecklarens separata säkerhetsrapport rekommenderar enligt webbplatsen att förväntad token audience eller client ID anges när version 1.6.0 används med streamable-http-transport och OAuth. Inställningen behövs inte i alla konfigurationer, till exempel inte vid stdio.

PyPI hänvisar användarna till AWS MCP Server, som utsetts till efterträdare, skriver webbplatsen. Enligt utvecklarens migreringsguide upphörde utvecklingen av nya funktioner den 15 juli 2026, och servern ska tas bort den 15 juli 2027, uppger webbplatsen.