Schwachstelle im offiziellen MCP Python SDK ermöglicht Diebstahl von OAuth-Anmeldedaten

Eine neu entdeckte Sicherheitslücke im offiziellen Python SDK für das Model Context Protocol (MCP) ermöglicht es kompromittierten oder bösartigen Servern, Client-Anwendungen zur Preisgabe sensibler OAuth-Anmeldedaten zu verleiten.

Mechanismus der Schwachstelle

Nach Angaben der SDK-Maintainer und des Sicherheitsunternehmens Cycode versäumen betroffene Versionen eine ordnungsgemäße Überprüfung des Autorisierungsservers, wenn dieser von einem MCP-Client angefragt wird. Diese Lücke erlaubt es einem nicht vertrauenswürdigen Server, Client-Secrets, Autorisierungscodes sowie PKCE-Proof-Keys abzufangen, indem die Übertragung der Tokens auf einen vom Angreifer kontrollierten Endpunkt umgeleitet wird. Cycode konnte nachweisen, dass Angreifer mit diesen entwendeten Daten gültige Zugriffstokens erhalten können, die über dieselben Berechtigungen wie die betroffene Anwendung verfügen. Das Problem wird bei Anbietern ohne menschliche Interaktion mit einem CVSS-Wert von 7,5 eingestuft, bei interaktiven Systemen liegt der Wert bei 6,5.

Betroffene Konfigurationen

Anwendungen sind gefährdet, wenn sie das SDK als HTTP-basierten MCP-Client in Verbindung mit bestimmten OAuth-Anbietern einsetzen, darunter OAuthClientProvider, ClientCredentialsOAuthProvider, PrivateKeyJWTOAuthProvider oder der als veraltet eingestufte RFC7523OAuthClientProvider der 1.x-Linie, sofern sie eine Verbindung zu nicht vertrauenswürdigen Servern aufbauen. Lokale stdio-Clients, mit dem SDK erstellte MCP-Server sowie Clients, die ihre Tokens selbst verwalten, sind von der Lücke nicht betroffen. Zum Stichtag 29. September waren noch keine CVE-Identifikatoren vergeben.

Korrekturmaßnahmen und Schadensbegrenzung

Entwickler sollten umgehend auf die Version 1.30.0 (1.x-Linie) oder 2.2.0 (2.x-Linie) aktualisieren. In diesen Versionen legt der Client den erwarteten Anmeldedienst vorab fest und weist abweichende Details zurück. Ein bloßes Update reicht jedoch für die Implementierungen ClientCredentialsOAuthProvider und PrivateKeyJWTOAuthProvider nicht aus; hier muss zusätzlich explizit ein "issuer"-Parameter übergeben werden, um den autorisierten Login-Dienst festzulegen. Ergänzend sollten Administratoren gespeicherte OAuth-Registrierungen löschen, langlebige Client-Secrets rotieren und aktive Tokens widerrufen, falls der Verdacht besteht, dass das System zuvor mit nicht vertrauenswürdigen Servern kommuniziert hat.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Official MCP Python SDK Flaw Can Let Malicious Servers Steal OAuth Credentials