グーグルのMCP Toolboxに深刻度9.3の脆弱性 ファイル流出の恐れ
グーグル・クラウドは10月26日、MCP Toolbox for DatabasesのCloud Storage連携機能にCVSS 9.3の脆弱性CVE-2026-93328があると公表した。認証なしでホストのファイルを外部バケットへ流出させたり、ローカルファイルを上書きしたりできる恐れがある。影響は1.2.0～1.4.0で、6月18日公開の1.5.0で修正された。
グーグル・クラウドは2026年10月26日（米国時間）、AIコーディング支援ツールとグーグルのデータサービスをつなぐオープンソースのMCPサーバー「MCP Toolbox for Databases」に深刻な脆弱性CVE-2026-93328があると公表した。CVEレコードによると、Cloud Storage連携機能を悪用され、ホスト上のファイルを外部に持ち出されたり、ローカルファイルを上書きされたりする恐れがある。
影響を受けるのはバージョン1.2.0～1.4.0で、6月18日公開の1.5.0で修正済みだ。修正から4カ月以上たってからの公表である。
要点
- CVE-2026-93328の深刻度はCVSS 4.0で10点満点中9.3。ログインも利用者の操作も不要だ。
- 対策は1.5.0以降への更新だが、グーグルはバケットとローカルパスの許可リスト設定、低権限アカウントでの実行も求めている。
- 同プロジェクトで今年2件目の深刻なパストラバーサル脆弱性となる。6月にはCVE-2026-11720が公表された。
MCP ToolboxのCloud Storage脆弱性とは
CVE採番機関としてグーグル・クラウドが登録したレコードは、パストラバーサル（CWE-22）と認可の欠如（CWE-862）を挙げる。認証を受けていない遠隔の攻撃者が、細工したツール呼び出しのパラメーターによって、ホストのファイルを外部のGoogle Cloud Storageバケットへ流出させ、任意のローカルファイルを上書きできるという。
AIエージェントがサーバーに送るツール呼び出しが、運用者が公開するつもりのないファイルやバケットを指してしまう可能性があるということだ。グーグルの設定ガイドには、ローカルファイルをオブジェクトとしてアップロードするupload_objectと、オブジェクトをローカルパスへダウンロードするdownload_objectがある。ガイドはCloud Storage用ツールにToolbox 1.2.0以降が必要としており、これは最初の影響バージョンと一致する。
CVSS 4.0のベクターは、ネットワーク経由、攻撃の複雑さは低、権限不要を示す。レコードに付いた米サイバーセキュリティー・インフラセキュリティー庁（CISA）の評価は、悪用「なし」、自動化「可能」、技術的影響「全面的」である。
修正の中身と許可リスト
修正はプルリクエスト#3454で、バケットとローカルパスへのアクセスを制限するものだ。allowedBuckets設定とローカルパスの制限設定を加えたが、プルリクエストによれば、いずれも既定値は「すべて許可」となっている。
このためグーグルは、更新に加えて両方の許可リストを設定し、権限の低いOSアカウントと制限したIAM権限でサービスを動かすよう勧告した。脆弱性は研究者のHe Wei（gikaku）氏が報告した。
公開と修正の経緯
| 日付 | 出来事 |
|---|---|
| 5月7日 | 1.2.0公開（最初の影響バージョン） |
| 6月4日 | 1.4.0公開（最後の影響バージョン） |
| 6月18日 | 1.5.0公開（修正） |
| 9月17日 | CVE番号を予約 |
| 10月23日 | 最新版1.15.0公開 |
| 10月26日 | CVE公表 |
公開日はReleaseAlertが集計したGitHubのリリース履歴、CVEの日付はCVEレコードに基づく。
背景：新たな攻撃対象となるMCPサーバー
同プロジェクトは6月29日にも、CVSS 9.3のCVE-2026-11720を公表している。HTTPツールのパス値が設定範囲を抜け出し、Toolboxの認証情報を載せたリクエストを同じホストの別のエンドポイントへ送れる問題で、1.3.0で修正された。
グーグルのガイドは、Cloud Storage用ツールをCursor、Windsurf、VS Code、Cline、Claude Desktop、Claude Code、Antigravityに接続する方法を紹介している。こうしてつながったエージェントは利用者のクラウド認証情報で動くため、サーバー側の制限がより重要になる。
今後の見通し
米国立脆弱性データベース（NVD）の分析はまだ終わっていない。1.2.0～1.4.0に固定して使っているチームは、更新したうえで許可リストを明示的に設定する必要がある。新しい設定は指定しなければすべてを許可するためだ。
よくある質問
どのバージョンが影響を受けるのか。
MCP Toolbox for Databasesの1.2.0～1.4.0だ。6月18日公開の1.5.0以降には修正が含まれる。
実際の攻撃は確認されているのか。
レコードに付いたCISAの評価は悪用「なし」である。グーグルも攻撃事例を明らかにしていない。
更新だけで十分か。
十分ではない。グーグルはallowedBucketsとローカルパスの許可リストの設定、OSとIAMの最小権限での実行もあわせて勧めている。
参考資料
- CVE-2026-93328: Missing Authorization in MCP Toolbox for Databases allows Arbitrary File Read and Write — CVEプログラム／グーグル・クラウド（2026年10月26日）
- feat(source/cloud-storage): restrict bucket and local path access — GitHub googleapis/mcp-toolbox
- Connect LLMs to Cloud Storage with MCP — Google Cloud ドキュメント（2026年8月26日更新）
- CVE-2026-11720 — OpenCVE（2026年6月29日）
- CVE-2026-93328 — Strix
コメント 0
現在コメントの投稿は無効になっています。