me

Tres vulnerabilidades de día cero en mcp-server-git, la implementación de referencia de la integración de Git para el Model Context Protocol (MCP).

Los fallos surgen de una validación insuficiente de entradas y saneamiento de argumentos en operaciones básicas de Git. Mediante inyección de prompts, los atacantes pueden ejecutar código, eliminar archivos y exfiltrar datos sensibles sin necesidad de acceso directo al sistema. Los parches están disponibles en la versión 2025.12.18 y posteriores.

A diferencia de hallazgos previos de seguridad en MCP, estas vulnerabilidades afectan a configuraciones predeterminadas desde el primer momento, lo que representa un riesgo inmediato para las organizaciones que despliegan los servidores MCP oficiales de Anthropic.

Estas vulnerabilidades, descubiertas por Cyata, permiten a los atacantes influir en el contexto del asistente de IA mediante READMEs maliciosos, descripciones de issues envenenadas o páginas web comprometidas.

Cuando el LLM procesa este contenido, activa llamadas a herramientas MCP con argumentos controlados por el atacante. Lo crucial es que no se requiere acceso directo al sistema.

La cadena de ataque combina múltiples debilidades: rutas de repositorio sin restricciones permiten acceder a cualquier directorio Git en el sistema.

La inyección de argumentos habilita operaciones arbitrarias sobre archivos, y la integración con el servidor MCP de Filesystem facilita la ejecución de código mediante filtros de Git.

Vulnerabilidades en el servidor Git MCP de Anthropic

Omisión de ruta de repositorio (CVE-2025-68145): Las funciones git_diff y git_log aceptan repo_path directamente de los argumentos del usuario sin validarlo frente al flag --repository configurado durante la inicialización del servidor. Esto permite a los atacantes acceder a cualquier repositorio Git en el sistema de archivos, no solo al previsto.

Inicialización sin restricciones (CVE-2025-68143): La herramienta git_init carece por completo de validación de rutas, lo que permite a los atacantes crear repositorios en directorios arbitrarios como /home/user/.ssh. Combinado con git_log o git_diff, esto posibilita la exfiltración de archivos sensibles al contexto del LLM.

Inyección de argumentos (CVE-2025-68144): La función git_diff pasa el parámetro target directamente a la CLI de Git sin saneamiento. Los atacantes inyectan flags como --output para sobrescribir archivos arbitrarios. Por ejemplo, un atacante podría ejecutar git_diff con la opción target "--output=/home/user/.bashrc" para eliminar o corromper archivos críticos.

El hallazgo más grave involucra la configuración de filtros de Git. Los atacantes pueden explotar git_init para crear un archivo .git/config malicioso con filtros clean/smudge, comandos de shell que se ejecutan durante operaciones de staging.

La cadena de ataque implica escribir archivos de configuración maliciosos mediante el servidor MCP de Filesystem, crear .gitattributes para activar filtros y ejecutar payloads arbitrarios sin requerir permisos de ejecución.

Esto demuestra cómo la arquitectura interconectada de MCP, que combina Git, filesystem y capacidades de LLM, puede amplificar vulnerabilidades individuales hasta lograr un compromiso total del sistema. Cualquier organización que ejecute versiones de mcp-server-git anteriores a 2025.12.18 está en riesgo.

En particular, están en peligro los IDEs potenciados por IA (Cursor, Windsurf, GitHub Copilot), que ejecutan múltiples servidores MCP simultáneamente, ampliando así la superficie de ataque.

La investigación de Cyata indica que los usuarios de Claude Desktop con integración de Git deberían tratar las actualizaciones como una prioridad alta para evitar posibles explotaciones.

Estas vulnerabilidades subrayan una realidad crítica: los sistemas agenticos introducen nuevos vectores de ataque que los modelos de seguridad tradicionales no abordan.

A medida que los agentes de IA ganan capacidades operativas autónomas, las organizaciones deben replantearse los modelos de amenaza en torno a la toma de decisiones impulsada por LLM y la invocación de herramientas.

La arquitectura MCP en sí no está defectuosa, pero su seguridad depende de una validación rigurosa de entradas en cada punto de integración.