Serwer Terraform MCP oddawał token jednego użytkownika następnemu

W trybie bezstanowym serwer Terraform MCP potrafił wziąć token jednego użytkownika i obsłużyć nim żądanie kolejnego. Ten sam token, którym Terraform tworzy i kasuje zasoby w chmurze, trafiał więc do cudzej sesji niezależnie od tego, czym uwierzytelnił się drugi użytkownik. W praktyce oznaczało to, że niewinne żądanie jednej osoby mogło pójść w chmurę z uprawnieniami zupełnie innej i sięgnąć zasobów, do których pytający nie miał prawa. HashiCorp wycenił tę lukę na 10,0 w skali CVSS, czyli maksimum na standardowej skali powagi luk, gdzie dziesięć to najgorszy możliwy wynik. Ujawnił ją 28 lipca, a poprawkę wydał w wersji 1.1.0.

Terraform MCP Server to pośrednik, który podłącza asystenta AI do Terraform przez Model Context Protocol, standard opisujący, jak model rozmawia z zewnętrznymi narzędziami. Zamiast klikać po konsoli, prosisz asystenta o zmianę w infrastrukturze, a on woła Terraform po twojej stronie. W wariancie dla jednej osoby, uruchamianym lokalnie przez tryb stdio, problemu nie ma. Wszystkie trzy luki żyją w trybie HTTP, tym przeznaczonym do wystawienia jednego serwera dla wielu osób naraz, czyli w konfiguracji, którą HashiCorp promował, udostępniając serwer oficjalnie w czerwcu.

Granica między użytkownikami stała na cudzym założeniu