CVE-2026-18655 - Divulgazione delle credenziali del broker e dei token OAuth nel server MCP di Amazon MQ di AWS Labs tramite iniezione di prompt
ID bollettino: 2026-070-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 03/08/2026 12:00 PDT
Descrizione:
il server MCP di AWS Amazon MQ (awslabs.amazon-mq-mcp-server) è un server Model Context Protocol che consente agli assistenti IA di interagire con i broker di messaggi Amazon MQ.
Abbiamo identificato la vulnerabilità CVE-2026-18655, una restrizione inappropriata degli endpoint previsti negli strumenti di connessione al broker RabbitMQ del server MCP Amazon MQ (awslabs.amazon-mq-mcp-server) prima della versione 2.0.24, che potrebbe consentire a un attore da remoto non autenticato di ottenere le credenziali del broker Amazon MQ per RabbitMQ o i token di accesso OAuth inviati a un endpoint predisposto controllato tramite un nome host del broker introdotto nel contesto del client MCP.
Versioni interessate: versione 2.0.23 e versioni precedenti.
Risoluzione:
questo problema è stato risolto nella versione 2.0.24 di awslabs.amazon-mq-mcp-server. Consigliamo di eseguire l’aggiornamento alla versione più recente e di accertarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork, quindi di effettuare la rotazione delle credenziali del broker.
Soluzioni alternative:
nel frattempo, non utilizzare l’approvazione automatica per gli strumenti rabbimq_broker_initialize_connection o rabbimq_broker_initialize_connection_with_oauth. In questo modo si garantisce che un utente debba controllare visivamente l’argomento broker_hostname prima di eseguirlo, e possa rifiutare le chiamate con nomi host che non corrispondono allo schema di endpoint Amazon MQ previsto (ad esempio, <broker_id>.mq.<region>.on.aws).
Riferimenti:
Ringraziamenti:
desideriamo ringraziare Marios Gyftos per aver collaborato alla risoluzione di questo problema attraverso il processo coordinato di divulgazione delle vulnerabilità.
Inviare un’e-mail all’indirizzo aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.