WORLDTECH网络安全 单一来源
AWS警告MCP网关注册表漏洞可能使攻击者访问内部网络服务
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
事件经过
AWS披露了mcp-gateway-registry中的一个服务器端请求伪造（SSRF）漏洞。mcp-gateway-registry是一个用于Model Context Protocol（MCP）服务器的开源注册表和网关。亚马逊网络服务（Amazon Web Services）是一家总部位于西雅图的云计算公司。
研究人员近期观察到，有人将MCP侦察与云元数据SSRF相结合，以窃取凭证。
该漏洞编号为CVE-2026-125926（这是某一特定软件漏洞的公开目录编号），归入公告2026-180-AWS之下。该问题使经过身份验证的用户能够让网关向部署环境内部网络中的服务发送请求。AWS CVE/漏洞 Cyber Security News 2 分钟。
AWS将该公告评为“重要”，GitHub安全公告将其评为8.5分（高危），归类为CWE-918。AWS MCP网关注册表漏洞该注册表集中管理已注册MCP工具资源的发现、访问控制和代理。
服务器注册与更新API（一种软件之间相互通信的接口）中存在漏洞，未能验证已注册服务器的上游地址。该缺陷影响v1.0.3至v1.34.0版本。
取决于网络配置，可达目标可能包括云实例元数据服务及其签发的凭证。若注册表运行时挂载了云角色，攻击者便可能获取角色凭证，从而由应用层滥用进一步扩展到整个云账户访问。