MCPStore.nl

Gepubliceerd:

MCP Inspector: negen beveiligingsadviezen, twee kritiek — een onbetrouwbare server testen kon uw laptop overnemen

Kort: op 21 oktober 2026 publiceerde het MCP-project negen beveiligingsadviezen voor MCP Inspector, de officiële testtool voor MCP-servers. Twee zijn kritiek (CVSS 9,6): een kwaadaardige remote server kon via de OAuth-stap willekeurige commando's uitvoeren op de computer van de ontwikkelaar. Veilig zijn versie 2.12.0 (huidige lijn) en 1.0.3 (verouderde v1-lijn). Een CVE-nummer is nog niet toegekend.

MCP Inspector is het hulpmiddel waarmee ontwikkelaars een MCP-server verbinden en uitproberen: tools aanroepen, antwoorden bekijken, de OAuth-inlog doorlopen. Het draait lokaal, meestal met npx @modelcontextprotocol/inspector, en start een webinterface plus een proxy op de eigen machine. Juist omdat het bedoeld is om servers te testen waarvan u het gedrag nog niet kent, is het een aantrekkelijk doelwit. Een van de adviezen zegt het zelf: de groep die deze tool gebruikt, is "by design" de groep die het meeste risico loopt.

Wat is er precies gevonden?

De negen adviezen verschenen op 21 oktober op GitHub, samen met twee releases: 1.0.3 voor de verouderde v1-lijn en 2.12.0 voor de huidige v2-lijn (beschikbaar sinds 28 juli). Volgens GitHub gaat het om twee kritieke, drie hoge, drie middelzware en één lage kwetsbaarheid. De ernstigste:

De overige vier gaan over gelekte headers en tokens, een geheugenuitputting via de fetch-proxy en het loggen van authenticatieheaders.

Wat is er in de fixes veranderd?

Versie 1.0.3 neemt in de OAuth-callback geen verbindingsinstellingen meer over uit de URL en verbindt daar nooit via stdio. Links uit MCP Apps openen alleen nog als http(s), en de proxy weigert browserverzoeken van dezelfde origin naar zijn API. Versie 2.12.0 opent alleen nog http(s)-URL's, controleert de Host-header tegen een toegestane lijst (nieuwe variabele MCP_INSPECTOR_ALLOWED_HOSTS voor reverse proxies) en begrenst antwoorden van de fetch-proxy op 4 MiB. Op npm staat latest nu op 2.12.0 en v1-latest op 1.0.3.

Waarom raakt dit organisaties, niet alleen ontwikkelaars?

De laptop van een ontwikkelaar is zelden een gewone werkplek. Er staan broncode, cloudsleutels, SSH-sleutels en vaak toegang tot interne systemen op. Wie MCP-servers bouwt of beoordeelt, gebruikt Inspector juist om onbekende of externe servers te proberen, bijvoorbeeld bij een leveranciersselectie. Een kritiek lek in die tool is daarmee een directe route naar een van de best beveiligde machines in de organisatie. Inspector staat bovendien zelden in een softwarelijst: het wordt ad hoc gestart via npx en daarna vergeten.

Ons advies

(1) Start Inspector altijd als npx @modelcontextprotocol/inspector@latest (≥ 2.12.0), of 1.0.3 als u om een reden op v1 moet blijven. Zoek in scripts, documentatie en package.json-bestanden naar vastgepinde oudere versies. (2) Test onbekende remote servers niet op een machine met productiesleutels; gebruik een aparte VM of container zonder toegang tot interne netwerken. (3) Zet DANGEROUSLY_OMIT_AUTH nooit aan buiten een geïsoleerde omgeving. (4) Neem ontwikkeltools als Inspector op in uw overzicht van MCP-componenten en updatebeleid. Meer in veiligheid & watchouts en een MCP-server bouwen.

En de referentieservers?

Vier dagen later, op 25 oktober, volgden acht adviezen voor de officiële referentieservers, samen met release v2.1.0. Die zijn minder ernstig: drie middelzware en vijf lage. De zwaarste (6,5) betreft het uitlezen van omgevingsvariabelen in server-everything; vier gaan over padcontrole en symlinks in server-filesystem. Twee adviezen omzeilen de bescherming tegen interne adressen die fetch pas sinds 2026.10.10 heeft, en waarover we vorige week schreven. Fixes: server-filesystem en server-everything 2.0.1, mcp-server-fetch 2026.10.24.

De grotere lijn: na de adviezen voor de officiële SDK's begin oktober zijn nu ook de testtool en de voorbeeldservers van het project grondig doorgelicht. Dat is goed nieuws, want het betekent dat onderzoekers en onderhouders de kern van het ecosysteem serieus nemen. Het betekent ook dat "officieel" niet hetzelfde is als "veilig zonder updates".

Bronnen

Veelgestelde vragen

Welke versie van MCP Inspector is veilig?

Versie 2.12.0 of hoger voor de huidige v2-lijn, of 1.0.3 voor de verouderde v1-lijn. Beide verschenen op 21 oktober 2026. Met npx @modelcontextprotocol/inspector@latest krijgt u de nieuwste v2-versie.

Hebben de MCP Inspector-lekken een CVE-nummer?

Nog niet. De negen adviezen staan als GitHub Security Advisories (GHSA) gepubliceerd; per 26 oktober 2026 was er geen CVE aan gekoppeld. Gebruik de GHSA-nummers om ze te volgen.

Moet ik me zorgen maken als ik Inspector alleen met eigen servers gebruik?

Minder, maar niet nul. De kritieke lekken vereisen een verbinding met een kwaadaardige server, maar het DNS-rebinding-lek in v2 kon via een gewone kwaadaardige website worden misbruikt terwijl Inspector draaide. Updaten is daarom in alle gevallen verstandig.

Laatst bijgewerkt: