MCP Servers v2.1.0: 경로 보호, 주소 판정 강화

1. 세 서버에서 취약점 8건 수정

10월 25일 공개된 릴리스 노트에 따르면 파일 시스템 서버에서 4건, Everything에서 1건, Fetch에서 3건을 고쳤다. 파일 작업, 웹 페이지의 도구 호출, 외부 자료 요청이라는 서로 다른 접근 경로가 수정 대상이다.

수정의 공통점은 검사를 통과한 대상과 실제 작업 대상을 맞추는 데 있다. 파일 접근은 허용된 디렉터리 안에 머물게 하고, 웹 요청은 출처와 최종 연결 주소까지 확인하도록 했다.

2. 파일 시스템 작업을 허용 경로 안에 묶는다

파일 시스템 서버는 검사한 디렉터리와 실제 쓰기 대상이 달라질 수 있던 문제를 수정했다. 심볼릭 링크는 다른 경로를 가리키는 연결이다. 접근 검사와 쓰기 사이에 상위 디렉터리가 이 연결로 바뀌어도 쓰기, 편집, 디렉터리 생성, 이동 목적지가 허용 영역 밖으로 향하지 않도록 했다.

경로를 검사할 때 끝의 따옴표나 공백을 제거하던 동작도 바로잡았다. 이제 검사하는 경로와 파일 작업에 쓰는 경로가 일치하므로, 허용된 디렉터리 이름에 해당 문자를 덧붙인 형제 디렉터리, 같은 상위 폴더에 있는 디렉터리로 접근하는 우회가 차단된다.

대소문자를 구분하지 않는 저장 장치에서는 새 경로를 만들 때 대소문자만 다른 심볼릭 링크가 검사를 통과하던 문제도 해결했다. 릴리스 노트는 macOS 기본 환경을 사례로 들며, 이 문제가 2026.8.31 버전에서 생겼다고 설명한다.

파일 목록과 크기를 보여 주는 기능도 각 항목의 접근 권한을 먼저 확인한다. 허용 영역 안의 심볼릭 링크를 통해 바깥 파일의 크기와 수정 시각이 드러나던 문제를 막는 변경이다.

3. 웹 요청은 출처와 연결 주소를 다시 확인

Everything의 웹 통신은 다른 웹 출처에서 온 요청을 거부하도록 바뀌었다. 요청이 어느 웹 출처에서 왔는지 나타내는 Origin을 확인하고 모든 출처를 허용하는 응답을 중단한다. 사용자가 방문한 웹 페이지가 서버 도구를 호출하거나 결과를 읽던 경로를 막는 조치다.

Fetch는 주소 검사에 사용한 호스트 이름과 실제 연결에 쓰는 이름을 일치시켰다. 국제화 도메인 이름, 비ASCII 문자를 쓰는 도메인 이름을 서로 다른 형태로 검사하고 연결하던 차이를 이용해 내부 주소에 접근할 수 있던 문제를 고친 것이다.

또한 IPv6 주소 안에 IPv4 주소를 담는 NAT64 주소 중 64:ff9b::/96 범위를 검사한다. 담긴 주소가 사설망, 내부에서만 쓰는 네트워크, 자기 자신, 같은 연결망 안을 가리키면 연결을 거부한다. 겉의 주소 형식뿐 아니라 그 안의 실제 목적지를 살피는 방식이다.

다른 주소로 재이동하는 리다이렉트가 발생할 때마다 목적지의 robots.txt도 다시 확인한다. 자동 수집에 대한 사이트의 접근 규칙을 처음 요청한 주소에서만 확인하던 동작을 고친 것이다.

4. 날짜 버전 사용자는 직접 버전을 지정

파일 작업과 웹 요청의 허용 경계가 강화되는 대신, 날짜 버전을 쓰는 타입스크립트 서버 운영자는 수정 버전을 직접 지정하는 설치 작업을 맡는다. 쓰기 대상 보호는 Linux와 macOS에 적용되지만 Windows에서는 일부만 고쳐졌다.

파일 시스템과 Everything의 수정 버전은 2.0.1이다. 타입스크립트 서버는 날짜형에서 의미 기반 버전 체계, 변경 의미를 숫자로 나타내는 버전 규칙으로 옮겨갔다. 패키지 관리자는 이 수정 버전을 기존 날짜 버전보다 낮게 평가해 업그레이드로 제시하지 않으므로 다음처럼 지정해 설치한다.

npm install @modelcontextprotocol/server-filesystem@2.0.1

Fetch는 2026.10.19까지의 버전이 영향 범위이며 수정 버전은 2026.10.24다. 파일 시스템 계열과 달리 날짜 형식을 유지하므로, 세 서버를 같은 버전 번호로 맞추기보다 구성요소별 수정 버전을 확인해 적용하는 것이 핵심이다.

취약점 8건의 수정은 서버별 버전 확인이 핵심이며, 날짜 버전 사용자는 자동 업데이트에 맡기지 말고 수정 버전을 지정해야 한다.