ФСТЭК предупредила о критической уязвимости BDU:2026-02402 в библиотеке MCP Go SDK, которая используется для интеграции LLM с внешними источниками данных. Она получила максимальную оценку 10.0 по CVSS.
ℹ️ Ошибка появилась в реализации протокола JSON-RPC, который обеспечивает передачу сообщений между элементами ИИ-системы. Дефект позволяет удаленному злоумышленнику обойти ограничения безопасности и выполнить манипулирование данными с помощью неправильной обработки регистра (CWE-178).
На текущий момент нет публично подтверждённых фактов использования именно MCP Go SDK в конкретных отечественных продуктах. При этом Go активно применяется в банковском секторе, телеком-компаниях, e-commerce, а также в сервисах, связанных с обработкой данных. Организации, которые строят собственные ИИ-решения на базе больших языковых моделей и интегрируют их с корпоративной инфраструктурой через MCP, потенциально могут использовать эту библиотеку или её производные.
— прокомментировал Антон Башарин, старший управляющий директор AppSec Solutions.
Уязвимость может затронуть, например:
— корпоративные ИИ-ассистенты с доступом к внутренним базам данных и сервисам,
— платформы автоматизации бизнес-процессов с ИИ-компонентами,
— DevOps и DevSecOps-инструменты, использующие с ИИ-агентами.
▶️ Исправление уже выпущено — разработчикам рекомендуется обновить MCP Go SDK до версии 1.3.1 или новее.
Подробности и рекомендации экспертов на TAdviser. 🖥
#Экспертиза_AppSec #ИИ