Защитная памятка по DeepSeek MCP Server и GHSA-72f3-6w86-7rv3: граница версий, runtime-инвентарь, безопасный regression-тест, стоп-критерии, канарейка, rollback и очищенный пакет владельцу.
Решение в одном абзаце
GHSA-72f3-6w86-7rv3 подтверждает отдельную проблему в DeepSeek MCP Server: HTTP endpoint мог принимать запросы без обязательной аутентификации на самой границе сервера. Граница применимости — @arikusi/deepseek-mcp-server до 1.8.0 при self-hosted HTTP binding, доступном не только доверенному локальному клиенту. Прямой безопасный ответ: сначала доказать runtime-версию и достижимость именно этой функции, затем обновить пакет до 1.8.0, задать обязательную auth схему и ограничить bind/ingress до действительно нужной сети. Наличие продукта в inventory ещё не доказывает уязвимость, а отсутствие жалоб не доказывает исправление. Вердикт формулируют как passed, failed, blocked или not affected by reachability; последний требует проверяемого доказательства отключённого пути.
Доказательство версии и функции
Инвентаризация для DeepSeek MCP Server должна соединить четыре слоя: установленный artifact, фактически активную функцию, границу доверия и наблюдаемый decision. Краткая форма — «package | bind scope | credential class | edge decision | handler reached». Сверьте runtime build с dependency resolver, checksum и первичной release-записью; downstream backport требует отдельного доказательства. Не подменяйте это banner, image tag или версией CLI на другом host. Оставляйте только обезличенные identifiers теста: hostname, IP, account, секреты, пользовательские объекты и environment dump в доказательство не входят. Неопределённый слой помечается blocked.
Безопасный regression fixture
Используйте изолированный стенд, synthetic data и восстановимый snapshot. Безопасный отрицательный контроль: в изолированном окружении выполнить запрос без credentials, с неверным синтетическим токеном и с корректным короткоживущим токеном; только последний достигает MCP handler. Сначала запишите baseline на текущей разрешённой сборке без активного эксплуатационного payload, затем повторите тот же сценарий на исправленной версии. Passed означает совпадение заранее объявленного security decision и сохранение штатной функции. Timeout, пустой ответ, один HTTP status или тишина журнала не считаются успехом: они могут означать неверный маршрут, crash или потерю telemetry.
Канарейка и совместимый rollback
Последовательность перехода для DeepSeek MCP Server: сначала обновить пакет до 1.8.0, задать обязательную auth схему и ограничить bind/ingress до действительно нужной сети; затем проверить artifact identity и только после этого расширять rollout. Для восстановления заранее нужны backup с пробным чтением, прежний digest, effective flags и конкретный owner решения. На канарейке выполняют штатный запрос и отрицательный fixture, следят за error rate, рестартами и профильными ресурсами. Успешная установка пакета не считается завершением. План возврата включает не только binary, но и schema/state compatibility; необратимая миграция блокирует автоматический rollback.
Красные флаги результата
Стоп-линия для этой темы: endpoint выставлен в интернет, токен рабочий или тестовый handler способен обратиться к внешней модели и потратить средства. При её срабатывании остановите опыт, сохраните только обезличенные признаки и восстановите snapshot. Не расширяйте тест, чтобы добиться воспроизведения. Ложнозелёные сигналы: один health endpoint, package metadata без runtime, успешное TCP-соединение, отсутствие публичного exploit и отсутствие пользовательских обращений. Эти признаки полезны для диагностики, но не отвечают на конкретный security decision и не заменяют первичную advisory-запись.
Особенность этого компонента
Защита reverse proxy полезна, но не доказывает auth самого self-hosted процесса: порт может быть доступен обходным маршрутом. Поэтому один тест идёт через ingress, второй — из соседнего контейнера к service port. Оба используют handler-заглушку без инструментов и внешних API. В отчёте оставляют только статус и synthetic principal. Результат считается самостоятельным только при сохранённой матрице до/после, заранее заданном expected decision и проверенном возврате. Если эта практическая развилка уже покрыта внутренней инструкцией, правильное действие — обновить её, а не создавать соседний URL под вариант названия продукта.
Пакет для технического владельца
Владельцу передают GHSA-72f3-6w86-7rv3, точную версию до и после, URL первичного источника, SHA-256 артефакта, timestamp Europe/Moscow и одну очищенную строку «package | bind scope | credential class | edge decision | handler reached». Добавьте expected и observed decision, длительность ограниченного окна, backup/rollback status и один обезличенный error-class. Удалите secrets, абсолютные домашние пути, IP, account ids, session values и содержимое пользовательских объектов. Если reachability не подтверждена, честный статус blocked; advisory не доказывает, что конкретная установка была затронута.
Материал подготовлен редакцией VOne с помощью ИИ по открытым официальным и первичным источникам; факты, версии и ссылки перепроверены. Реальные пользовательские данные, активные payload и вымышленные результаты тестов не использовались.
Источники и проверка
- GitHub Advisory Database: GHSA-72f3-6w86-7rv3 проверено 2026-08-30
- npm registry: @arikusi/deepseek-mcp-server 1.8.0 проверено 2026-08-30
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.