Se descubrieron vulnerabilidades en servidores MCP de Apache Doris, Apache Pinot y Alibaba RDS que permitirían ejecutar comandos SQL maliciosos o extraer metadatos sensibles. Mientras que Apache ya lanzó parches y correcciones, Alibaba decidió no solucionar el fallo en su sistema. El experto Tomer Peled advierte que estas fallas reflejan una falta de validación de seguridad generalizada en el desarrollo de servidores MCP.





Vulnerabilidades de seguridad en servidores MCP para tres proyectos de bases de datos populares podrían permitir a los atacantes ejecutar sentencias SQL no deseadas en Apache Doris, exfiltrar metadatos sensibles de Alibaba RDS y, potencialmente, tomar el control de instancias de Apache Pinot expuestas a internet. Alibaba, mientras tanto, se negó a parchear su fallo.

Apache emitió un parche y un seguimiento de CVE para Doris MCP, y se nos ha informado que hay un ticket abierto en el repositorio de Github de MCP Pinot para el fallo. Sin embargo, Alibaba decidió no parchear la vulnerabilidad en RDS MCP, según el analista de seguridad de Akamai Tomer Peled, quien escribió sobre los fallos aquí el martes y presentará su investigación completa el próximo mes en x33fcon aquí.

MCP, o Model Context Protocol, es un protocolo de código abierto desarrollado originalmente por Anthropic que permite que los LLM, las aplicaciones de IA y los agentes se conecten a datos externos, sistemas y entre sí.

Un problema más amplio

Si bien los problemas de seguridad nunca son algo bueno y son especialmente preocupantes cuando existen en un servidor situado entre un agente de IA y una base de datos de producción, estos en particular apuntan a un problema mayor en la forma en que se desarrollan los MCP.

“Falta una validación de seguridad o esta es defectuosa entre el servidor MCP y su back end”, escribió Peled, añadiendo que estas “brechas de seguridad se convertirán en objetivos de alto valor para los atacantes y esperamos que surjan más de estos problemas”.

A continuación, presentamos un análisis detallado de los tres, comenzando con el fallo que ya ha sido corregido y al que se le ha asignado un CVE.

Apache Doris aquí es una base de datos de búsqueda y análisis de alta velocidad con más de 10.000 usuarios de medianas y grandes empresas. Su servidor MCP permite que los agentes de IA interactúen y realicen operaciones en las instancias de Doris. Esto incluye consultas SQL o la recuperación de metadatos de tablas y esquemas, y prefigura el fallo encontrado: CVE-2025-66335 aquí, una vulnerabilidad de inyección SQL que afecta a las versiones del servidor Apache Doris MCP anteriores a la 0.6.1.

Cuando se llama a una herramienta MCP, la función “exec_query” del servidor no valida uno de los cinco parámetros (el parámetro db_name) antes de construir la consulta SQL. Esto significa que un atacante puede invocar la función e inyectar SQL malicioso a través del parámetro db_name, que se antepone al principio de la sentencia SQL final. Además, el validador de SQL solo comprueba la primera parte de la consulta, por lo que todo lo que ve es la directiva del atacante.

“Como resultado, cualquier atacante que obtenga acceso a un cliente conectado al servidor Doris MCP puede ejecutar comandos arbitrarios en la instancia de Apache Doris de la víctima”, dijo Peled.

Apache emitió un parche en diciembre para solucionar este fallo.

El segundo problema, un bypass de validación de autenticación en Apache Pinot MCP, también puede conducir a ataques de inyección SQL y a la toma de control total de la base de datos.

Apache Pinot aquí es otra base de datos de análisis superrápida, y la integración MCP de StarTree para Pinot aquí antes de la v2.0.0 permitía a los usuarios ejecutar consultas directamente desde su agente de IA contra su instancia de Pinot.

El proyecto de código abierto utiliza HTTP como capa de transporte sin requerir ningún tipo de autenticación. Esto expone el endpoint a atacantes remotos que puedan alcanzarlo, permitiéndoles invocar herramientas MCP, incluidas las utilizadas para la ejecución de SQL.

“En entornos donde el endpoint MCP es accesible externamente, este comportamiento permite que atacantes no autenticados ejecuten consultas contra la instancia de Pinot, lo que puede permitir una toma de control remota completa de la base de datos”, escribió Peled.

Desde entonces, StarTree ha añadido OAuth como opción de autenticación al utilizar HTTP, lo que según él reduce la amenaza de inyección SQL (aunque esta sigue existiendo en el código), y Apache también ha abierto un problema de seguridad en el repositorio de github de MCP Pinot. Las versiones v1.1.0 y anteriores de Pinot MCP están afectadas.

Ni Apache ni StarTree respondieron a las solicitudes de comentarios.

El tercer fallo de seguridad, un problema de divulgación de información en el servidor MCP de Alibaba RDS aquí, también se deriva de que el servidor no autentica a los usuarios antes de invocar la herramienta MCP de generación aumentada por recuperación (RAG), que permite a los modelos de IA conectarse y consultar bases de datos.

Esto significa que “cualquier cliente capaz de alcanzar el endpoint MCP puede emitir solicitudes al servidor sin ninguna validación de consulta”, según Peled. “El índice vectorial puede contener nombres de tablas, definiciones de esquemas u otros metadatos potencialmente sensibles, y atacantes no autenticados pueden exfiltrar estos datos con poco o ningún esfuerzo”.

Todas las versiones de Alibaba RDS MCP están afectadas por esta vulnerabilidad.

El cazador de errores afirma que informó del problema a Alibaba en noviembre, y el gigante de la nube le dijo que el problema “no es aplicable” para una corrección, por lo que sigue estando en el código. Akamai también informó de esta inacción al Centro de Coordinación CERT (CERT/CC) aquí.

Alibaba no respondió a las indagaciones.

Peled dijo que el equipo de búsqueda de amenazas, al iniciar esta investigación, asumió que habría alguna especificación de seguridad básica para todos los servidores MCP. Resultó que estaban equivocados y, como reveló la investigación, existen en el código fallos como inyección SQL, falta de autenticación y validación de consultas insuficiente.

“Esto significa que se debe prestar más atención no solo a la especificación, sino también a las guías de mejores prácticas de seguridad al desarrollar servidores MCP seguros”, escribió.

Fuente:
TheRegister