Bypass d'authentification critique dans Dolt MCP : exécution d'outils sans authentification

🔍 Contexte

Publié le 13 août 2026 par Pillar Security sur leur blog, cet article présente la découverte et la divulgation coordonnée d’une vulnérabilité critique d’authentification bypass dans le serveur MCP distant de DoltHub (CVE-2026-73554).

🐛 Description de la vulnérabilité

La vulnérabilité affecte Dolt MCP versions 0.3.1 à 0.3.6 sur le transport HTTP distant lorsque l’authentification JWT est activée. Elle repose sur deux défauts combinés :

• Défaut 1 — Middleware JWT sans return : Un token JWT invalide déclenchait bien une réponse 401 Unauthorized via http.Error, mais en l’absence d’instruction return, l’exécution continuait vers le handler MCP (next.ServeHTTP). En Go, http.Error écrit la réponse sans interrompre le traitement.
• Défaut 2 — Validation de session par format uniquement : La bibliothèque mark3labs/mcp-go utilisée (via InsecureStatefulSessionIdManager) vérifiait uniquement que l’identifiant de session commençait par mcp-session- et se terminait par un UUID valide, sans vérifier que le serveur avait effectivement créé cette session.

💥 Impact

Un attaquant non authentifié pouvait :

• Soumettre un JWT invalide et un Mcp-Session-Id forgé localement
• Atteindre le dispatcher d’outils MCP
• Exécuter des opérations de base de données avec les credentials du serveur MCP

Les actions possibles dépendaient des privilèges du compte de base de données du serveur :

• Lecture de schémas et données accessibles
• Exécution de requêtes
• Modification ou suppression de données (si le compte avait les droits en écriture)

La réponse HTTP portait toujours le statut 401, mais le résultat de l’opération apparaissait dans le corps de la réponse — rendant l’attaque invisible pour les systèmes de monitoring basés uniquement sur les codes HTTP.

🔗 Chaîne d’exploitation

1. JWT rejeté → 401 écrit, mais exécution continue
2. Session ID forgé accepté (validation syntaxique uniquement)
3. Outil dispatché avec les credentials Dolt du serveur
4. Résultat retourné dans le corps de la réponse 401

📅 Timeline de divulgation

• 3 août 2026 : Rapport privé de Pillar Security à DoltHub
• 4 août 2026 : Confirmation par DoltHub, patch de l’infrastructure hébergée, publication de GHSA-mgpq-fxxc-h49q
• 13 août 2026 : Émission de CVE-2026-73554
• 14 août 2026 : Divulgation publique par Pillar Security

🛠️ Correction

La vulnérabilité est corrigée dans Dolt MCP version 0.3.7 par l’ajout d’un return après le rejet JWT. Les utilisateurs auto-hébergés doivent mettre à jour.

📌 Type d’article

Il s’agit d’une publication de recherche / analyse technique avec divulgation coordonnée, visant à documenter une vulnérabilité critique dans un composant MCP utilisé dans les systèmes multi-agents IA.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1550 — Use Alternate Authentication Material (Defense Evasion)
• T1078 — Valid Accounts (Defense Evasion)

IOC

• CVEs : CVE-2026-73554 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 16 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 36/100 (moyenne)

• ⬜ pillar.security — source non référencée (0pts)
• ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 3 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ 0/1 CVE(s) confirmée(s) (0pts)

🔗 Source originale : https://www.pillar.security/blog/lose-control-flow-unauthenticated-tool-execution-in-dolt-mcp