Досье asana-mcp-cross-tenantУтечка модели и данныхСША
Логическая ошибка в MCP-сервере Asana месяц раскрывала данные клиентов между организациями
Логическая ошибка в новом MCP-сервере Asana, работавшем с начала мая, могла показывать пользователям AI-инструментов задачи, метаданные проектов, комментарии и файлы других организаций. 5 июня Asana отключила сервер и исправила ошибку.
СредняяАтака на ИИСтатус: УстранёнПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 17 июн. 2025
- Локация
- США
- Цель
- Клиенты MCP-сервера Asana
- Критичность
- Средняя
- Инициатор
- Asana (дефект программного обеспечения)
- Тип субъекта
- Случайность / ошибка конфигурации
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Логическая ошибка в новом MCP-сервере Asana, работавшем с начала мая, могла показывать пользователям AI-инструментов задачи, метаданные проектов, комментарии и файлы других организаций. 5 июня Asana отключила сервер и исправила ошибку.
Последствия: Потенциально затронуто около 1 000 клиентов; подтверждённых случаев несанкционированного просмотра нет
Кто стоит за инцидентом
Субъект: Asana (дефект программного обеспечения)
Атрибуция: Раскрыто Asana пострадавшим клиентам; злоумышленник не участвовал
Мотив: Отсутствует (баг)
Как это произошло
Вектор атаки: Межтенантное извлечение данных через MCP-интеграцию, используемую LLM-клиентами
Первопричина: Логическая ошибка в разграничении тенантов MCP-сервера
Хронология
- Asana запускает свой MCP-сервер для AI-интеграций
- Обнаружена ошибка
- MCP-сервер отключён
- Сервис восстановлен с исправлением; клиенты уведомлены
Реагирование
Asana выпустила исправление, сбросила MCP-подключения и предложила клиентам журналы для оценки масштаба раскрытия
Текущий статус: Устранён
Источники (открываются в новой вкладке)
- BleepingComputer bleepingcomputer.com
- The Register theregister.com
- UpGuard upguard.com
Цитировать это досье
Логическая ошибка в MCP-сервере Asana месяц раскрывала данные клиентов между организациями. AI Threat Watch, досье asana-mcp-cross-tenant, 17 июн. 2025. https://aithreat.io/ru/cases/asana-mcp-cross-tenant/
Постоянная ссылка: https://aithreat.io/ru/cases/asana-mcp-cross-tenant/