CVE-2026-77364: уязвимость fail-open в obsidian-tc раскрывает секреты каталога .obsidian
В obsidian-tc — MCP-сервере для хранилищ Obsidian — обнаружена уязвимость fail-open по умолчанию, позволяющая аутентифицированному пользователю читать служебные каталоги .obsidian, .git и .trash. Проблема затрагивает версии до 1.3.1 и может привести к утечке API-ключей плагинов и паролей Obsidian Sync. Критичность — средняя (CVSS 6.5).
Подробности
Уязвимость затрагивает все версии obsidian-tc до 1.3.1. Причина — сочетание нескольких факторов: - Если параметры readPaths и writePaths не заданы, сервер разрешает доступ ко всем путям (fail-open). - Настройка strictReadDefault не защищает прямые запросы к файлам. - Каталоги .obsidian, .git и .trash исключаются только на этапе перечисления (enumeration), но не блокируются при прямом обращении. В результате аутентифицированный вызывающий абонент может напрямую прочитать конфиденциальные файлы, например .obsidian/plugins/*/data.json. Эти файлы часто содержат API-ключи сторонних плагинов, пароли Obsidian Sync и другие чувствительные данные внутри хранилища. Уровень критичности по CVSS — 6.5 (MEDIUM), что отражает необходимость аутентификации для эксплуатации, но при этом высокую ценность раскрываемых данных.Что делать
Единственная надёжная мера — обновление до версии 1.3.1, в которой уязвимость устранена: управляющие каталоги запрещены по умолчанию, а strictReadDefault применяется и к прямым путям запросов. Если обновление невозможно, рекомендуется: - Явно задать параметры readPaths и writePaths, ограничив доступ только необходимыми путями. - Убедиться, что strictReadDefault включён и реально применяется к прямым запросам. - Ограничить круг аутентифицированных пользователей и агентов, имеющих доступ к серверу. - Ротировать секреты, которые могли быть скомпрометированы: API-ключи плагинов и пароли Obsidian Sync. - Проверить журналы на предмет обращений к .obsidian/plugins/*/data.json. Итог: CVE-2026-77364 — классический пример небезопасного поведения по умолчанию (fail-open). Даже при наличии механизмов защиты они не срабатывали для прямых запросов к служебным каталогам. Пользователям obsidian-tc следует как можно скорее перейти на версию 1.3.1 и проверить сохранность секретов внутри хранилищ Obsidian.Источник: CVE Project (cvelistV5)