MCP Kotlin SDK — это многоплатформенный комплект разработки программного обеспечения Kotlin для протокола контекста модели. В версиях с 0.7.0 по 0.12.0 `ReadBuffer.append` в `kotlin-sdk-core/src/commonMain/kotlin/io/modelcontextprotocol/kotlin/sdk/shared/ReadBuffer.kt` записывает каждый фрагмент байтов, полученный от транспорта stdio, в `kotlinx.io.Buffer` без ограничения размера. Кадры извлекаются из этого буфера только тогда, когда наблюдается байт `\n` (0x0a).
Одноранговый узел, который передает байты без отправки новой строки, приводит к бесконечному росту внутреннего буфера до тех пор, пока JVM (или окружающий хост-процесс) не будет уничтожен OOM. Утечка усиливается с помощью `StdioServerTransport` и `StdioClientTransport`, которые ставят необработанные фрагменты в очередь через `kotlinx.coroutines.channels.Channel<ByteArray>(Channel.UNLIMITED)`, а затем вызывают `readBuffer.append(chunk)` без противодавления или защиты размера. Это отказ в обслуживании с удаленной предварительной аутентификацией всякий раз, когда стандартный ввод SDK stdio-сервера подается ненадежным или контролируемым злоумышленником производителем (например: хост-программа, которая запускает сервер MCP как подпроцесс и передает байты, полученные от узла сети, или вспомогательную оболочку, которая передает байты из конечной точки HTTP в транспорт stdio).
Версия 0.13.0 устраняет проблему.
Показать оригинальное описание (EN)
MCP Kotlin SDK is the Kotlin Multiplatform software development kit for the Model Context Protocol. In versions 0.7.0 through 0.12.0, `ReadBuffer.append` in `kotlin-sdk-core/src/commonMain/kotlin/io/modelcontextprotocol/kotlin/sdk/shared/ReadBuffer.kt` writes every chunk of bytes received from the stdio transport into a `kotlinx.io.Buffer` with no size cap. Frames are extracted from that buffer only when a `\n` (0x0a) byte is observed. A peer that streams bytes without ever sending a newline causes the internal buffer to grow indefinitely until the JVM (or the surrounding host process) is OOM-killed. The leak is amplified by `StdioServerTransport` and `StdioClientTransport`, which both queue raw chunks through a `kotlinx.coroutines.channels.Channel<ByteArray>(Channel.UNLIMITED)` and then call `readBuffer.append(chunk)` without backpressure or size guard. This is a remote-pre-auth denial of service whenever an SDK stdio server's stdin is fed by an untrusted or attacker-controlled producer (for example: a host program that exec's the MCP server as a subprocess and pipes through bytes received from a network peer, or a sidecar wrapper that proxies bytes from an HTTP endpoint to the stdio transport). Version 0.13.0 fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1