mcp-atlassian 취약점 공개…AI 에이전트가 서버 파일을 Confluence로 유출할 수 있어

GitHub 보안 권고와 sooperset/mcp-atlassian 공식 릴리스 노트에 따르면 MCP-Atlassian 0.22.0 이전 버전에서 서버 측 파일을 임의로 읽을 수 있는 고위험 취약점이 공개됐다. 취약점은 Jira와 Confluence 첨부파일 업로드 기능이 사용자가 넘긴 파일 경로를 서버 파일시스템에서 그대로 열어 처리하는 구조에서 비롯됐다.

MCP-Atlassian은 Jira와 Confluence를 Model Context Protocol(MCP) 기반 도구로 연결하는 오픈소스 패키지다. AI 에이전트나 MCP 클라이언트가 협업 문서를 조회하고 이슈를 수정하며 첨부파일을 다룰 수 있게 해주는 유형의 도구인 만큼, 이번 취약점은 단순 파일 처리 오류를 넘어 에이전트 실행 환경의 권한 경계 문제로 이어진다.

GitHub Advisory Database에 등록된 GHSA-wm45-qh3g-v83f는 원격 또는 다중 사용자 전송 환경에서 클라이언트가 보낸 파일 경로가 클라이언트가 아니라 서버에서 해석된다고 설명한다. 이 경우 서버 프로세스가 접근할 수 있는 파일이 Atlassian 첨부파일로 업로드될 수 있다. 영향받는 패키지는 pip 생태계의 mcp-atlassian이며, 취약 버전 범위는 0.22.0 미만, 패치 버전은 0.22.0이다.

별도 권고인 GHSA-g5r6-gv6m-f5jv는 Confluence 첨부파일 업로드 도구의 경로 검증 누락을 다룬다. 권고는 인증된 MCP 클라이언트뿐 아니라 프롬프트 인젝션에 조작된 AI 에이전트가 민감 파일 경로를 첨부하도록 유도될 수 있다고 경고했다. 특히 서버 환경변수 파일이나 키 파일이 노출될 경우 Atlassian 계정 토큰, 클라우드 키, 데이터베이스 접속 정보 등으로 피해가 확대될 수 있다.

공식 릴리스 노트에 따르면 mcp-atlassian 0.22.0은 첨부파일 업로드와 다운로드, 콘텐츠 파일 입력 등 호출자가 제공하는 경로를 작업 디렉터리 안으로 제한하도록 검증을 강화했다. 프로젝트는 같은 릴리스에서 HTTP 전송 인증, SSRF 방어, 도구 권한 집행, 프로젝트·스페이스 필터 경계, OAuth 토큰 파일 권한 등 여러 보안 강화를 함께 반영했다고 밝혔다.

이번 사례는 MCP 서버가 AI 에이전트에 외부 시스템 접근 권한을 제공할 때 파일 경로, 네트워크 요청, 인증 토큰 같은 전통적 보안 경계가 더 중요해진다는 점을 보여준다. 에이전트가 자연어 지시를 받아 도구를 호출하는 구조에서는 취약한 도구 하나가 프롬프트 인젝션과 결합해 서버 자격증명 유출 경로가 될 수 있다.

운영자는 mcp-atlassian을 0.22.0 이상으로 업데이트하고, 원격 HTTP/SSE 형태로 배포한 경우 서버 작업 디렉터리, 환경변수, Atlassian 토큰 권한, 첨부파일 업로드 권한을 함께 점검해야 한다. AI 에이전트가 읽는 Jira 티켓이나 Confluence 문서에 외부 사용자가 내용을 쓸 수 있다면, 도구 호출 승인 절차와 감사 로그도 확인할 필요가 있다.

출처: GitHub Advisory Database https://github.com/advisories/GHSA-wm45-qh3g-v83f · GitHub Advisory Database https://github.com/advisories/GHSA-g5r6-gv6m-f5jv · sooperset/mcp-atlassian 릴리스 노트 https://github.com/sooperset/mcp-atlassian/releases/tag/v0.22.0