WeKnora CVE-2026-30856 : vérifier le routage des outils après correction des collisions de noms

Ce que c'est

État au 25 octobre 2026. Vérifier à nouveau la plage de versions affectées indiquée dans l’avis WeKnora et les éventuelles versions de sécurité ultérieures avant le déploiement. L’avis de l’éditeur, publié le 6 mars 2026, décrit CVE-2026-30856 et indique que les versions jusqu’à 0.2.14 incluse sont affectées, tandis que 0.3.0 est corrigée. Une collision de noms dans le registre d’outils du client pouvait remplacer l’implémentation prévue par l’outil d’un serveur malveillant ; une sortie d’outil injectée pouvait alors influencer les actions suivantes. Avis WeKnora.

Il s’agit d’un problème d’intégrité de l’acheminement des appels autant que d’un problème d’injection de prompt. Un nom familier affiché à l’écran ne permet pas d’établir quel serveur distant reçoit un appel. CWE-706 décrit les noms dont la résolution conduit à des ressources situées hors du périmètre de contrôle prévu. CWE-706.

Pourquoi c'est important

La spécification MCP indique que les noms d’outils devraient être uniques au sein d’un serveur. Cette règle ne crée pas d’espace de noms global pour l’ensemble des serveurs connectés. Le client qui réunit leurs outils doit préserver l’identité du serveur lors de la présentation, de l’approbation et de l’acheminement des opérations. Les annotations des outils restent elles aussi non fiables, sauf si leur source est digne de confiance. Outils MCP.

Une mise à niveau est nécessaire pour corriger la vulnérabilité identifiée, mais les opérateurs ont aussi besoin de preuves que le déploiement en cours d’exécution a changé et que les serveurs enregistrés précédemment sont toujours autorisés. Un enregistrement antérieur à la mise à niveau mérite un examen, même si les noms de ses outils semblent ordinaires.

Comment l'appliquer

• Consigner l’artefact déployé avant son remplacement. Pour les installations Docker, remplacer le nom du conteneur par son nom réel dans docker inspect --type=container --format='{{.Config.Image}}' WEKNORA_CONTAINER. Cette commande indique la référence d’image configurée ; vérifier l’artefact auquel elle correspond dans les dossiers de déploiement, car un tag modifiable ne suffit pas à prouver une version. Docker inspect.
• Mettre les déploiements WeKnora affectés à niveau vers une version prise en charge contenant le correctif de 0.3.0. Reconnecter uniquement les serveurs MCP approuvés et comparer le registre reconstitué à l’inventaire approuvé.
• Comme règle de conception du client, utiliser comme clé de routage une identité de serveur immuable et le nom exact de l’outil. Conserver séparément le libellé destiné à l’affichage. Rejeter les enregistrements ambigus plutôt que remplacer silencieusement une entrée existante. Cela traite la catégorie de résolutions incorrectes décrite par CWE-706.
• Figer les définitions examinées et signaler leurs modifications pour examen. Afficher l’identité du serveur, l’opération et les arguments au moment de l’approbation. S’assurer que l’identité approuvée est celle utilisée pour acheminer l’appel, y compris après une reconnexion ou une mise à jour du registre.
• Vérifier les appels autorisés ordinaires dans un déploiement de test en consignant leur destination réelle. Vérifier que les mises à jour du registre ne peuvent pas changer silencieusement cette destination. Il s’agit de contrôles d’acceptation proposés, et non de résultats de tests rapportés.
• Si des appels passés ont atteint un serveur non approuvé, préserver l’inventaire des outils et les enregistrements des appels. Déterminer quels éléments de contexte ou identifiants ont été divulgués et révoquer les identifiants concernés. Traiter les symptômes ci-dessus comme des pistes d’investigation, et non comme une preuve de compromission.

Pièges

L’ajout d’un préfixe lisible sans préservation d’une identité interne non ambiguë peut laisser subsister des collisions. Le hachage d’une définition permet de détecter des modifications, mais ne prouve pas que son éditeur initial était digne de confiance. Une boîte de dialogue de validation n’est utile que si elle identifie le serveur qui exécutera réellement l’appel approuvé.