MCP Ruby SDK — это официальный Ruby SDK для серверов и клиентов протокола контекста модели. До версии 0.23.0 MCP::Server::Transports::StdioTransport и MCP::Client::Stdio в геме mcp использовали IO#gets без ограничения в байтах, позволяя узлу, отправляющему данные без новой строки, исчерпать память процесса. Эта проблема исправлена в версии 0.23.0.
Показать оригинальное описание (EN)
MCP Ruby SDK is the official Ruby SDK for Model Context Protocol servers and clients. Prior to 0.23.0, MCP::Server::Transports::StdioTransport and MCP::Client::Stdio in the mcp gem use IO#gets without a byte limit, allowing a peer that sends data without a newline to exhaust process memory. This issue is fixed in version 0.23.0.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Ссылки 3
https://github.com/modelcontextprotocol/ruby-sdk/commit/267b8fa6285453525c81ce4…
security-advisories@github.com
https://github.com/modelcontextprotocol/ruby-sdk/releases/tag/v0.23.0
security-advisories@github.com
https://github.com/modelcontextprotocol/ruby-sdk/security/advisories/GHSA-7683-…
security-advisories@github.com