Descripción
Autorización ausente (CWE-862) e inicialización de un recurso con un valor por defecto inseguro (CWE-1188) en el proxy MCP (HandleStreamPassThrough en mcp_service.go) y en el flujo de registro OIDC (GET /info y POST /register en internal/controlplane/server.go) de Google OSS Agent Mesh (SAM), versiones 0.1.0-alpha.1 a 0.1.0-alpha.8, permiten que un atacante remoto se inscriba por sí mismo en la malla e invoque herramientas arbitrarias en todos los nodos backend MCP conectados. Dado que GET /info divulga públicamente la configuración OIDC, que POST /register inscribe automáticamente a cualquier poseedor de un token OIDC válido sin filtrado de claims ni verificaciones de bloqueo, y que la política por defecto vincula sam:system:authenticated a servicios y destinos comodín, un atacante puede obtener una credencial de la malla con acceso completo de lectura, escritura y ejecución sobre los servicios backend. Los usuarios deben actualizar a la versión 0.1.0-alpha.9 o posterior, que aplica una política por defecto de cierre ante fallos (fail-closed), requisitos explícitos de vinculación de políticas en la inscripción y verificaciones de bloqueo.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- SAM Afectadas: 0.1.0-alpha.1 y anteriores a 0.1.0-alpha.9
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/google/sam/security/advisories/GHSA-cgmg-9xf6-rrgw
- Referencia en github.comgithub.com/google/sam/releases/tag/v0.1.0-alpha.9
- Exploit publicadogithub.com/google/agentmesh/security/advisories/GHSA-cgmg-9xf6-rrgw
Ver el texto original en inglés (CVE.org)
Insecure Default Policy and Unrestricted OIDC Enrollment in Google OSS Agent Mesh (SAM)
Missing Authorization (CWE-862) and Initialization of a Resource with an Insecure Default (CWE-1188) in the MCP proxy (HandleStreamPassThrough in mcp_service.go) and OIDC registration flow (GET /info and POST /register in internal/controlplane/server.go) in Google OSS Agent Mesh (SAM) versions 0.1.0-alpha.1 through 0.1.0-alpha.8 allow a remote attacker to self-enroll into the mesh and invoke arbitrary tools across all connected MCP backend nodes. Because GET /info publicly discloses OIDC configuration, POST /register auto-enrolls any valid OIDC token holder without claim filtering or ban checks, and the default policy binds sam:system:authenticated to wildcard services and targets, an attacker can obtain a mesh credential with full read, write, and execution access on backend services. Users should upgrade to version 0.1.0-alpha.9 or later, which enforces a fail-closed default policy, explicit policy-binding requirements on enrollment, and ban checks.