CVE-2026-115413 – Contournement de la validation d’audience du jeton OAuth du serveur MCP AWS API
ID du bulletin : 2026-152-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 27/10/2026 11 h 00 PDT (heure du Pacifique)
Description :
Le serveur MCP AWS API est un serveur open source du protocole de contextualisation des modèles (MCP) qui permet aux assistants IA d’interagir avec les services et les ressources AWS via les commandes de l’interface de ligne de commande AWS. Il peut être configuré pour servir le transport HTTP streamable avec authentification OAuth, en validant un jeton Bearer auprès d’un fournisseur d’identité désigné par l’opérateur. Nous avons identifié CVE-2026-115413 dans les versions >=1.3.0 et <1.6.0, où le serveur valide la signature, l’émetteur et l’expiration d’un jeton, mais pas la revendication identifiant l’application pour laquelle le jeton a été émis. Un jeton que le fournisseur d’identité désigné a émis à une autre application du même locataire est donc accepté, ce qui peut permettre d’effectuer des appels d’API AWS avec les informations d’identification configurées sur l’hôte.
Versions concernées : >=1.3.0 ET <1.6.0
Résolution :
Ce problème a été résolu dans la version 1.6.0 d’awslabs.aws-api-mcp-server. Nous vous recommandons de passer à la dernière version et d’appliquer les nouveaux correctifs à tout code forké ou dérivé. Les opérateurs utilisant AUTH_TYPE=oauth doivent également définir AUTH_AUDIENCE ou AUTH_CLIENT_ID pour les fournisseurs d’identité dont les jetons d’accès ne comportent aucune revendication d’audience, tels qu’Amazon Cognito.
Solutions de contournement :
Les opérateurs qui ne peuvent pas effectuer la mise à niveau immédiatement peuvent utiliser le transport stdio par défaut plutôt que le transport streamable-http.
Références :
Remerciements :
Nous tenons à remercier Yuval Elbar (@YuvalElbar6) pour sa collaboration sur ce problème, dans le cadre du processus coordonné de divulgation de vulnérabilité.
Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.