MCP Inspector 보안 강화: CVE-2025-49596 사례를 통해 배운 점

핵심 기술

MCP Inspector는 LLM 도구 개발 및 테스트를 위한 유용한 디버깅 도구이지만, 사용자 입력과 시스템 로직을 연결하는 인터페이스로서 보안에 대한 주의가 필요합니다. CVE-2025-49596 취약점 사례를 통해 프론트엔드에서 로컬로 도구 정의를 실행할 때 발생할 수 있는 보안 위험과 이를 해결하기 위한 방법을 다룹니다.

기술적 세부사항

• 취약점 발생 원인: 구 버전 MCP Inspector는 사용자 제공 매니페스트를 통해 프론트엔드 UI에서 로컬 tool-use 요청을 실행할 수 있었습니다. 이는 eval() 또는 안전하지 않은 역직렬화를 사용하여 JSON 매니페스트에 임의의 도구 로직을 주입하고, 이를 통해 사용자의 브라우저에서 악성 코드를 실행시킬 수 있었습니다. 공유 인프라(dev server, IPFS 등)에 호스팅될 경우, 로컬 API 접근이나 민감한 로컬 파일 읽기 등의 공격에 취약했습니다.
• 보안 수정 사항:
  • 명시적 옵트인 없이는 로컬 도구 실행을 허용하지 않도록 변경되었습니다.
  • 새로운 버전은 신뢰할 수 있는 MCP 서버 매니페스트에서만 도구 정의를 로드합니다.
  • proxy WebSocket 연결이 없으면 'Tools' 탭이 비활성화됩니다.
  • 사용자가 직접 임의의 도구 정의를 붙여넣는 것이 불가능해졌습니다.
  • 도구 실행은 샌드박스 환경에서 호스트 브라우저와 격리됩니다.

• 안전한 도구 핸들러 예시 (TypeScript):
  ```typescript
  import { ToolHandler, ToolResponse } from "@mcp/types";

  interface SummaryInput {
  text: string;
  maxLength?: number;
  }

  export const generateSummary: ToolHandler = async (input) => {
  const { text, maxLength = 100 } = input;

  if (typeof text !== "string" || text.trim() === "") {
  return ToolResponse.error("Input 'text' must be a non-empty string.");
  }

  const cleaned = text.trim().replace(/\s+/g, "");
  const summary =
  cleaned.length <= maxLength
  ? cleaned
  : cleaned.slice(0, maxLength).trim() + "...";

  return ToolResponse.success({ summary });
  };
  ```
  이 예제는 MCP 서버 자체에서만 호출되며, 입력 값 검증을 포함하고 있습니다.

개발 임팩트

• 사용자 정의 로직을 처리하는 개발자 도구를 구축할 때, 신뢰할 수 없는 입력(JSON 포함)을 잠재적인 코드로 간주하고 엄격하게 검증해야 합니다.
• eval() 또는 Function() 생성자 사용을 피하고, '모의 모드(mock mode)'와 '라이브 모드(live mode)'를 명확하게 분리하여 보안을 강화해야 합니다.
• 프론트엔드와 백엔드 간의 신뢰 경계를 명확히 정의하고 강제하는 것이 중요합니다.

커뮤니티 반응

톤앤매너

본 콘텐츠는 개발자를 대상으로 MCP Inspector의 보안 취약점과 개선 사항을 구체적인 사례와 코드 예제를 통해 설명하며, 실질적인 보안 원칙을 제시합니다.