Expediente asana-mcp-cross-tenantFiltración de modelos y datosEstados Unidos
Falla lógica en el servidor MCP de Asana expuso datos de clientes entre organizaciones por un mes
Un error lógico en el nuevo servidor MCP de Asana, activo desde principios de mayo, podía mostrar tareas, metadatos de proyectos, comentarios y archivos de otras organizaciones a usuarios de herramientas de IA. Asana lo desconectó el 5 de junio y lo corrigió.
MediaAtaque a la IAEstado: ResueltoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 17 jun 2025
- Ubicación
- Estados Unidos
- Objetivo
- Clientes del servidor MCP de Asana
- Gravedad
- Media
- Provocado por
- Asana (defecto de software)
- Tipo de actor
- Accidente / mala configuración
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Un error lógico en el nuevo servidor MCP de Asana, activo desde principios de mayo, podía mostrar tareas, metadatos de proyectos, comentarios y archivos de otras organizaciones a usuarios de herramientas de IA. Asana lo desconectó el 5 de junio y lo corrigió.
Impacto: Unos 1,000 clientes potencialmente afectados; sin visualización no autorizada confirmada
Quién lo provocó
Actor: Asana (defecto de software)
Atribución: Divulgado por Asana a los clientes afectados; sin atacante involucrado
Motivo: Ninguno (error)
Cómo ocurrió
Vector de ataque: Recuperación de datos entre inquilinos a través de la integración MCP usada por clientes LLM
Causa raíz: Falla lógica en el alcance por inquilino del servidor MCP
Cronología
- Asana lanza su servidor MCP para integraciones de IA
- Se descubre el error
- Servidor MCP desconectado
- Servicio restaurado con la corrección; clientes notificados
Respuesta
Asana parcheó, restableció las conexiones MCP y ofreció registros a los clientes para revisar la exposición
Estado actual: Resuelto
Fuentes (pestaña nueva)
- BleepingComputer bleepingcomputer.com
- The Register theregister.com
- UpGuard upguard.com
Citar este expediente
Falla lógica en el servidor MCP de Asana expuso datos de clientes entre organizaciones por un mes. AI Threat Watch, expediente asana-mcp-cross-tenant, 17 jun 2025. https://aithreat.io/es/cases/asana-mcp-cross-tenant/
Enlace permanente: https://aithreat.io/es/cases/asana-mcp-cross-tenant/