首页 游戏 软件 资讯 排行榜 专题
首页
科技数码
Anthropic MCP与Git服务器三漏洞解析:文件访问与代码执行风险

Anthropic MCP与Git服务器三漏洞解析:文件访问与代码执行风险

热心网友
89
转载
2026-01-21

为了应对这些安全问题,该Python软件包现已移除可能引发路径遍历的工具git_init,并添加了额外的验证机制。建议所有用户尽快将软件包更新到最新版本,以获得全面的安全防护。

Anthropic维护的Git模型上下文协议(MCP)服务器mcp-server-git被披露存在三个安全漏洞,攻击者在特定条件下可利用这些漏洞读取或删除任意文件,甚至执行恶意代码。

\

Cyata研究员Yarden Porat在提供给网络安全媒体的报告中指出:“这些漏洞可以通过提示注入(prompt injection)被利用。这意味着,攻击者能够影响AI助手读取恶意内容(例如被篡改的README文件、植入恶意描述的问题说明或被入侵的网页),从而在不直接接触受害者系统的情况下,将这些漏洞武器化。”

mcp-server-git是一个Python软件包,也是一个MCP服务器。它提供了一组内置工具,允许大型语言模型(LLM)以编程方式读取、搜索和操作Git仓库。

这些安全问题已于2025年6月被报告给维护者,并在随后的2025年9月25日和2025年12月18日发布的版本中得到修复。具体漏洞包括:

CVE-2025-68143(CVSS评分:8.8[v3]/6.5[v4])- git_init工具在创建仓库时未验证文件系统路径,导致路径遍历漏洞(已于2025年9月25日版本修复)。CVE-2025-68144(CVSS评分:8.1[v3]/6.4[v4])- git_diff和git_checkout函数将用户控制的参数直接传递给git CLI命令,导致参数注入漏洞(已于2025年12月18日版本修复)。CVE-2025-68145(CVSS评分:7.1[v3]/6.3[v4])- 使用--repository标志将操作限制到特定仓库路径时,缺乏路径验证导致的路径遍历漏洞(已于2025年12月18日版本修复)。

成功利用上述漏洞可使攻击者将系统上的任何目录转换为Git仓库、利用空差异覆盖任意文件,以及访问服务器上的任何仓库。

根据Cyata记录的攻击场景,这三个漏洞可与文件系统MCP服务器串联使用。具体方式是向通常位于隐藏.git目录中的“.git/config”文件写入恶意配置,并借助提示注入触发git_init调用,最终实现远程代码执行。攻击步骤如下:

使用git_init在可写目录创建仓库。通过文件系统MCP服务器写入一个包含clean过滤器的恶意.git/config文件。编写.gitattributes文件,将过滤器应用于特定文件。创建包含恶意载荷的shell脚本。触发过滤器的文件。调用git_add执行clean过滤器,从而运行恶意载荷。

作为应对措施,该软件包已移除git_init工具并增加额外验证以防止路径遍历。再次建议Python软件包用户更新至最新版本,以获得最佳防护。

Agentic AI安全公司Cyata的首席执行官兼联合创始人Shahar Tal表示:“这是一个标准的Git MCP服务器,是开发者期望会复用的参考实现。如果参考实现中的安全边界都遭到破坏,就表明整个MCP生态系统需要更深入的审查。这些不是边缘案例或特殊配置缺陷,而是开箱即用的真实漏洞。”

来源:https://www.51cto.com/article/834656.html
免责声明: 游乐网为非赢利性网站,所展示的游戏/软件/文章内容均来自于互联网或第三方用户上传分享,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系youleyoucom@outlook.com。

相关攻略

网络安全及网络安全评估的脆弱性分析
网络安全
网络安全及网络安全评估的脆弱性分析

一、网络安全 (一)网络安全的定义 提到网络安全,其实可以把它理解为一个多维度的“健康状态”。它关乎计算机网络系统中的硬件、数据、程序,确保它们不会因为无意或恶意的原因遭到破坏、篡改或泄露。换句话说,就是既要防止非授权访问,又要保障系统服务能可靠、连续地运行。 有意思的是,网络安全的具体内涵,往往取

热心网友
04.28
网络安全需要掌握哪些技能?网络安全怎么学?
网络安全
网络安全需要掌握哪些技能?网络安全怎么学?

网络安全工程师:核心技能与每日实战 数字化浪潮席卷之下,网络空间的安全防线变得前所未有的重要。无论对政府、企业还是个人用户而言,一次系统漏洞或数据泄露都可能造成难以估量的损失。正因如此,作为数字世界的“守门人”,网络安全工程师的角色正变得至关重要。今天,我们就来深入聊聊,要胜任这份工作,究竟需要打磨

热心网友
04.28
CTF网络安全大赛
网络安全
CTF网络安全大赛

CTF是什么?网络安全竞赛的全面解读 对于网络安全领域之外的朋友而言,CTF可能是一个陌生的术语。简单来说,CTF(Capture The Flag,夺旗赛)是网络安全技术人员之间进行技术竞技与交流的核心形式,常被喻为安全界的“奥林匹克”或“华山论剑”。其诞生源于一个朴素的初衷:黑客们需要一种安全、

热心网友
04.28
网络安全是什么?学习网络安全需要多少钱?
网络安全
网络安全是什么?学习网络安全需要多少钱?

网络安全是什么? 在当今数字化时代,网络安全的重要性已不言而喻。无论是企业运营还是个人生活,一旦忽视安全防护,都可能面临数据泄露、财产损失乃至声誉受损的风险。正因如此,市场对专业网络安全人才的需求日益迫切,学习网络安全技术也成为众多从业者提升竞争力的关键。那么,网络安全究竟涵盖哪些内容?参加系统性的

热心网友
04.19
论网络安全
网络安全
论网络安全

网络安全:构筑数字世界的信任基石 当您思考网络安全时,脑海中会浮现怎样的画面?是影视作品中黑客交锋的炫目场景,还是现实世界里数据泄露的警示新闻?实际上,它的内涵远比这些表象更为深远。网络安全,本质上是一套旨在全面保障计算机网络系统免受非法入侵、恶意攻击、服务中断及信息窃取的综合防护体系与技术实践。它

热心网友
04.19

最新APP

宝宝过生日
宝宝过生日
应用辅助 04-07
台球世界
台球世界
体育竞技 04-07
解绳子
解绳子
休闲益智 04-07
骑兵冲突
骑兵冲突
棋牌策略 04-07
三国真龙传
三国真龙传
角色扮演 04-07

热门推荐

菩提苦海万事知任务全流程攻略
游戏攻略
菩提苦海万事知任务全流程攻略

在《燕云十六声》中领悟“菩提苦海”,需沉浸探索游戏世界。主线剧情构建认知框架,战斗观察、场景细节与NPC对话皆暗藏线索。通过多元视角拼凑因果,方能深入理解游戏蕴含的宏大叙事与深邃魅力。

热心网友
05.23
海信618电视销量夺冠 Mini LED技术加速普及
业界动态
海信618电视销量夺冠 Mini LED技术加速普及

2026年618大促的序幕刚刚拉开,初期战报已经透露出一些耐人寻味的信号。截至5月21日,海信电视在京东平板电视累计销售竞速榜上拔得头筹,其RGB-Mini LED爆款王——海信小墨E5S Pro,更是同时拿下了天猫平板电视和抖音大家电的5 20单品销冠。 这并非偶然。奥维云网的全渠道监测数据给出了

热心网友
05.23
极氪800kW液冷超充桩上线 峰值电流800A充电更快
业界动态
极氪800kW液冷超充桩上线 峰值电流800A充电更快

充电桩领域的“军备竞赛”再次迎来重磅升级。5月22日,极氪汽车正式发布了其全新一代液冷超级充电桩,将单枪峰值功率一举提升至行业领先的800kW,标志着超充技术迈入新阶段。 根据官方披露的核心信息,这款超充桩主要具备四大优势:极速补能、高效节能、广泛适配与多重安全。具体而言,其单枪峰值电流高达800A

热心网友
05.23
红色沙漠电弧机剑获取攻略与详细步骤解析
游戏攻略
红色沙漠电弧机剑获取攻略与详细步骤解析

获取电弧机剑主要有五种途径:推进主线任务以解锁线索;探索遗迹、工厂等特定区域;挑战特定副本与Boss;完成提及传说武器或遗物的支线任务;参与限时活动并达成要求。玩家可根据偏好选择或组合多种方式获取该武器。

热心网友
05.23
小米汽车试驾活动重启 预约即送1比64合金车模
业界动态
小米汽车试驾活动重启 预约即送1比64合金车模

小米汽车再次为潜在车主带来惊喜福利!即日起至5月31日,用户只需提前完成预约,并到店参与任意车型的试驾体验,即可免费获赠一款1:64精致合金车模。车模款式与颜色随机发放,为试驾过程增添一份专属的收藏乐趣,诚意十足。 参与本次活动需注意以下细则:试驾必须通过官方渠道提前预约;各授权门店的车模备货数量不

热心网友
05.23