Dossier asana-mcp-cross-tenantFuite de modèle et de données17 juin 2025États-Unis

Une faille logique du serveur MCP d'Asana a exposé des données clients entre organisations

Un bug logique dans le nouveau serveur MCP d'Asana, en service depuis début mai, pouvait afficher aux utilisateurs d'outils IA des tâches, métadonnées de projets, commentaires et fichiers d'autres organisations. Asana l'a mis hors ligne le 5 juin et l'a corrigé.

MoyenneAttaque contre l’IAStatut: RésoluDossier vérifié

Ouvrir dans la carte interactive Citer ce dossier

Signalé le: 17 juin 2025
Lieu: États-Unis
Cible: Clients du serveur MCP d'Asana
Gravité: Moyenne
Déclenché par: Asana (défaut logiciel)
Type d’acteur: Accident / mauvaise configuration
Perte déclarée: Aucune déclarée
CVE: Aucun

Ce qui s’est passé

Impact: Environ 1 000 clients potentiellement concernés ; aucune consultation non autorisée confirmée

Qui l’a déclenché

Acteur: Asana (défaut logiciel)

Attribution: Divulgué par Asana aux clients concernés ; aucun attaquant impliqué

Mobile: Aucun (bug)

Comment c’est arrivé

Vecteur d’attaque: Récupération de données entre locataires via l'intégration MCP utilisée par des clients LLM

Cause racine: Faille logique dans le cloisonnement par locataire du serveur MCP

Chronologie

1 mai 2025Asana lance son serveur MCP pour les intégrations IA
4 juin 2025Découverte du bug
5 juin 2025Mise hors ligne du serveur MCP
17 juin 2025Service rétabli avec le correctif ; clients notifiés

Réponse

Asana a corrigé, réinitialisé les connexions MCP et proposé des journaux aux clients pour évaluer l'exposition

Statut actuel: Résolu

Sources (nouvel onglet)

BleepingComputer bleepingcomputer.com
The Register theregister.com
UpGuard upguard.com

Citer ce dossier

Une faille logique du serveur MCP d'Asana a exposé des données clients entre organisations. AI Threat Watch, dossier asana-mcp-cross-tenant, 17 juin 2025. https://aithreat.io/fr/cases/asana-mcp-cross-tenant/

Lien permanent: https://aithreat.io/fr/cases/asana-mcp-cross-tenant/