AWS corrige un bypass de audiencia OAuth que podía exponer credenciales del servidor MCP

AWS publicó el 27 de octubre de 2026 un boletín sobre CVE-2026-115413, una validación incompleta de tokens OAuth en AWS API MCP Server, el proyecto abierto que permite a asistentes de IA invocar servicios y recursos de AWS mediante comandos de AWS CLI. La falla afecta versiones desde 1.3.0 hasta antes de 1.6.0 cuando se usa transporte streamable HTTP con autenticación OAuth.

El servidor validaba firma, emisor y expiración del token, pero no comprobaba la audiencia: el campo que identifica a la aplicación para la que se emitió el token. Según AWS, un token válido del mismo proveedor de identidad, pero destinado a otra aplicación dentro del tenant, podía ser aceptado. Si el servidor estaba configurado con credenciales AWS, ese acceso podía permitir ejecutar operaciones de AWS bajo la identidad y permisos de esas credenciales.

Los servidores MCP conectan modelos y asistentes con herramientas externas. En este caso, el servicio convierte solicitudes del asistente en llamadas a AWS CLI. La frontera de confianza no depende únicamente de que el token esté firmado correctamente: también tiene que comprobarse que fue emitido para ese servidor y cliente. Sin esa comprobación, la autenticación puede reconocer un token legítimo pero destinado a otra aplicación.

El impacto es especialmente relevante en despliegues donde el endpoint HTTP está accesible a usuarios o agentes que no deberían poder usar todas las operaciones habilitadas por las credenciales del host. La falla no convierte por sí sola cualquier usuario en administrador de AWS; el alcance práctico depende de la exposición del servidor, del proveedor de identidad, de los permisos IAM y de la configuración de credenciales. AWS describe la posibilidad de realizar operaciones con las credenciales configuradas, por lo que el principio de mínimo privilegio limita el daño potencial.

AWS corrigió el problema en la versión 1.6.0 de awslabs.aws-api-mcp-server. Las instalaciones con versiones 1.3.0, 1.4.x o 1.5.x que usan OAuth sobre streamable HTTP deben actualizarse y comprobar que la versión nueva está ejecutándose realmente en cada instancia, contenedor o entorno de desarrollo. Las bifurcaciones y derivados también requieren incorporar la corrección; actualizar solo el proyecto original no remedia copias que mantienen código propio.

El fabricante recomienda definir AUTH_AUDIENCE para validar la audiencia esperada. Cuando el proveedor de identidad emite tokens sin una reclamación audience, como puede ocurrir con Amazon Cognito, la guía indica usar AUTH_CLIENT_ID. La actualización debe acompañarse de pruebas de tokens: confirmar que un token destinado al cliente autorizado funciona y que un token emitido para otra aplicación se rechaza.

AWS propone usar el transporte stdio en lugar del transporte streamable HTTP para quienes no puedan actualizar de inmediato. Esta alternativa puede reducir la superficie de exposición remota, aunque cambia la arquitectura de conexión y no necesariamente aplica a todos los flujos de integración. Los equipos deben revisar si el servidor está publicado en una red alcanzable, quién puede solicitarle operaciones y qué permisos de AWS están asociados a sus credenciales.

Como medida complementaria, conviene limitar el rol IAM a las acciones y recursos que el asistente necesita, rotar secretos si la telemetría revela uso no esperado y revisar CloudTrail en busca de operaciones inconsistentes con el patrón legítimo. Estas son recomendaciones defensivas basadas en el impacto descrito; el boletín no afirma que todas las instalaciones hayan sido atacadas ni que AWS haya detectado explotación activa de esta falla.

La causa se relaciona con la audiencia del token, no con una vulnerabilidad general de OAuth ni con todos los servidores MCP. La condición precisa es la modalidad OAuth del AWS API MCP Server, versiones afectadas y transporte streamable HTTP. El fallo fue corregido en software abierto y la propia alerta enlaza el aviso de seguridad del repositorio y el registro CVE.

Las organizaciones que despliegan asistentes sobre infraestructura AWS deberían inventariar las instalaciones de este servidor, identificar su transporte y versión, revisar AUTH_AUDIENCE o AUTH_CLIENT_ID y confirmar la política de IAM asociada. El riesgo debe tratarse como una debilidad en la separación de aplicaciones autenticadas: un token puede ser auténtico y aun así no ser válido para el cliente que lo recibe. La actualización y la validación de audiencia cierran esa brecha sin atribuirle efectos que la evidencia pública no documenta.