Sårbarhet i GitHub:s MCP-server som leder till läckage av information från privata repositorier.

I GitHub MCP Server, implementationen av MCP (Model Context Protocol) från GitHub, har en sårbarhet upptäckts som gör det möjligt att extrahera data från privata användarrepositorier som använder AI-assistenter för att automatisera arbetet med repositorier.

MCP-protokollet är avsett för att koppla AI-modeller till olika datakällor. GitHub MCP Server säkerställer sömlös integration av stora språkmodeller med GitHub API och ger dessa modeller ytterligare kontext genom att extrahera data från GitHub-repositorier. Modeller som använder MCP kan tillämpas för att automatisera vissa åtgärder på GitHub, till exempel för att analysera felmeddelanden.

Sårbarheten ligger i att genom interaktion med en stor språkmodell kopplad till GitHub kan konfidentiell användardata avslöjas för användaren som kopplat AI-agenten till sitt GitHub-konto. En angripare kan publicera en specifikt utformad problemrapport (issue) i ett offentligt repository, där automatisering baseras på en stor språkmodell. När modellen aktiveras kommer den att skapa en pull-begäran med ett föreslaget lösning. Om problemet rör privata repositorier eller konfidentiell data kan modellen avslöja information i den föreslagna pull-begäran.

Som exempel skickades ett felmeddelande med klagomål om att författaren inte angavs i README-filen. Som lösning föreslogs det i meddelandet att lägga till information om författaren och en lista över alla repositorier som författaren har arbetat med i README. Slutligen skapade modellen en pull-begäran med information som inkluderade personlig information om författaren, extraherad från ett privat repository, samt en lista över befintliga privata repositorier. I nästa steg kan liknande interaktion med modellen ge data från ett specifikt privat repository.

För att aktivera AI-agenten krävs det att ägaren av förvaret ger kommando för att analysera felmeddelanden. Om GitHub är kopplat till AI-tjänsten Claude, räcker det att ägaren skickar en förfrågan till AI-assistenten som lyder "titta på issues i mina öppna källkods-repositories och åtgärda dem". Därefter aktiverar AI-assistenten den konfigurerade MCP-integrationen med GitHub-kontot och följer instruktionerna i felmeddelandena.

Källa: opennet.ru