요약
Anthropic이 관리하는 MCP 레퍼런스 서버 중 Git 서버(mcp-server-git)의 취약점 세 건이 2025년 12월 17일 GitHub 보안 권고로 공개됐습니다. 발견자인 Cyata는 2026년 1월 20일 공격 체인을 공개했습니다. Cyata는 2025년 6월에 제보했고, 실제 악용 사례는 확인되지 않았다고 밝혔습니다.
| CVE | 내용 | 수정 버전 |
|---|---|---|
| CVE-2025-68145 | --repository로 지정한 저장소 밖의 경로를 툴 호출마다 검증하지 않음 | 2025.12.18 |
| CVE-2025-68144 | git_diff, git_checkout에 인자 주입. --output 같은 옵션으로 로컬 파일 덮어쓰기 가능 (CVSS 4.0 6.3) | 2025.12.18 |
| CVE-2025-68143 | git_init이 임의 디렉터리를 저장소로 만듦. 툴 자체가 삭제됨 (CVSS 6.5) | 2025.9.25 |
세 건을 한 번에 막으려면 2025.12.18 이상을 쓰면 됩니다.
하나씩은 중간 등급인데 권고를 내는 이유
각 취약점의 점수는 중간 수준입니다. 그런데 Cyata가 보여 준 체인은 공격자가 피해자 시스템에 직접 접근할 필요가 없습니다. 에이전트가 읽게 될 README, 이슈 본문, 웹페이지에 지시문을 넣어 두는 것으로 시작합니다.
- 에이전트가 지시문이 든 문서를 읽습니다.
git_init으로 쓰기 가능한 디렉터리를 저장소로 만듭니다.- 같은 클라이언트에 붙은 Filesystem MCP 서버로 그 저장소의
.git/config에 clean 필터를 써 넣습니다. Git의 clean·smudge 필터는 설정에 적힌 셸 명령을 실행합니다. git_add가 호출되면 필터가 돌면서 명령이 실행됩니다.
코드 실행까지 가지 않아도 피해가 납니다. .ssh 같은 디렉터리를 저장소로 만든 뒤 git_log나 git_diff로 읽으면 그 내용이 모델 컨텍스트에 올라갑니다. 서버마다 따로 점검했다면 둘 다 큰 문제 없어 보였을 조합이라는 점이 이 건에서 가장 배울 부분입니다. MCP 공급망 경로 전반은 2026년 11호 위협 리포트에 정리했습니다.
조치
먼저 버전을 확인하고 올립니다. uvx로 띄우는 설정이라면 버전을 박아 두세요.
// 예시: MCP 설정에서 버전 고정
"git": {
"command": "uvx",
"args": ["mcp-server-git@2025.12.18", "--repository", "/home/dev/project"]
}
# pip로 설치한 경우
pip install -U "mcp-server-git>=2025.12.18"
Git 서버와 Filesystem 서버를 같은 에이전트에 붙여 쓰고 있다면, Filesystem 서버에 허용한 쓰기 경로가 Git 저장소와 겹치는지 봅니다. 겹친다면 경로를 분리하세요. 이미 영향을 받았는지 확인하려면 저장소 설정에 예상하지 못한 필터가 들어 있는지 찾습니다.
# 예시: 홈 디렉터리 아래 저장소에서 filter 설정 찾기
find ~ -path "*/.git/config" -exec grep -l '\[filter' {} + 2>/dev/null
# 특정 저장소에서 필터 설정과 그 출처 보기
git -C /home/dev/project config --show-origin --get-regexp '^filter\.'
Git LFS를 쓰면 filter.lfs 항목이 정상적으로 나옵니다. 그 외의 필터, 특히 clean이나 smudge 값에 sh -c, curl, bash가 들어 있으면 조사 대상입니다.
마지막으로, 에이전트가 외부 문서를 읽은 뒤 Git 툴을 호출하는 흐름이 있다면 쓰기 계열 툴 호출에 사람 확인을 붙이세요. 업데이트로 이번 세 건은 막히지만, 문서 속 지시문이 툴을 움직이는 구조는 그대로 남습니다.
참고 자료
- GHSA-j22h-9j4x-23w5, Missing path validation when using --repository flag (CVE-2025-68145), modelcontextprotocol/servers
- GHSA-9xwc-hfwc-8w59, Argument injection in git_diff and git_checkout (CVE-2025-68144), modelcontextprotocol/servers
- GHSA-5cgr-j3jf-jw3v, Unrestricted git_init tool (CVE-2025-68143), modelcontextprotocol/servers
- Three Flaws in Anthropic MCP Git Server Enable File Access and Code Execution, The Hacker News, 2026.1
