구글 MCP 툴박스 9.3점 취약점…호스트 파일 유출 우려

구글 클라우드가 10월 26일(현지시간) AI 코딩 도구와 구글 데이터 서비스를 잇는 오픈소스 MCP 서버 'MCP 툴박스 포 데이터베이스(MCP Toolbox for Databases)'의 치명적 취약점 CVE-2026-93328을 공개했다. CVE 기록에 따르면 클라우드 스토리지 연동 기능에서 호스트 파일을 외부로 빼내거나 로컬 파일을 덮어쓸 수 있다.

영향받는 버전은 1.2.0~1.4.0이며 6월 18일 나온 1.5.0에서 고쳐졌다. 패치 4개월여 뒤에야 공개된 셈이다.

핵심 정리

• CVE-2026-93328의 심각도는 CVSS 4.0 기준 10점 만점에 9.3점이다. 로그인도, 사용자 조작도 필요 없다.
• 1.5.0 이상으로 올리는 것이 해법이지만, 구글은 버킷·로컬 경로 허용 목록 설정과 저권한 계정 실행도 함께 권고했다.
• 같은 프로젝트에서 올해 나온 두 번째 치명적 경로 조작 취약점이다. 6월에는 CVE-2026-11720이 공개됐다.

MCP 툴박스 클라우드 스토리지 취약점, 무엇이 문제인가

CVE 번호 발급 기관 자격으로 구글 클라우드가 등록한 기록은 경로 조작(CWE-22)과 권한 확인 누락(CWE-862)을 함께 지목했다. 인증받지 않은 원격 공격자가 조작한 도구 호출 값으로 호스트 파일을 외부 구글 클라우드 스토리지 버킷으로 빼내고 임의의 로컬 파일을 덮어쓸 수 있다는 설명이다.

에이전트의 도구 호출이 운영자가 의도하지 않은 파일·버킷을 가리킬 수 있다는 뜻이다. 구글의 설정 안내서에는 로컬 파일을 객체로 올리는 upload_object, 객체를 로컬 경로로 내려받는 download_object 도구가 있다. 이 도구들은 툴박스 1.2.0 이상이 필요한데, 바로 첫 영향 버전이다.

기록에 붙은 미국 사이버보안·인프라보안청(CISA) 평가는 실제 악용 '없음', 자동화 '가능', 기술적 영향 '전면적'이다.

패치 내용과 허용 목록 설정

수정 코드인 풀 리퀘스트 #3454는 버킷과 로컬 경로 접근을 제한하는 내용이다. allowedBuckets 설정과 로컬 경로 제한 설정을 추가했는데, 풀 리퀘스트에 따르면 두 설정 모두 기본값은 '전부 허용'이다.

그래서 구글은 업그레이드에 더해 두 허용 목록을 직접 설정하고, 서비스를 권한이 낮은 운영체제 계정과 제한된 IAM 권한으로 돌리라고 권고했다. 취약점은 연구자 He Wei(gikaku)가 제보했다.

배포·공개 일정

배포일은 ReleaseAlert 집계 기준이다.

맥락: 새 공격 면이 된 MCP 서버

이 프로젝트는 6월 29일에도 CVSS 9.3점짜리 CVE-2026-11720을 공개했다. HTTP 도구의 경로 값이 설정된 범위를 벗어나, 툴박스 자격 증명을 실은 요청을 같은 호스트의 다른 주소로 보낼 수 있었다. 1.3.0에서 고쳐졌다.

구글 안내서는 이 도구를 커서, VS 코드, 클로드 코드, 안티그래비티 등 7개 도구에 연결하는 법을 소개한다. 연결된 에이전트는 사용자의 클라우드 자격 증명으로 움직이므로 서버 쪽 제한이 중요하다.

전망

미국 국가취약점데이터베이스(NVD)의 분석은 아직 진행 중이다. 1.2.0~1.4.0을 쓰는 팀은 업그레이드 뒤 허용 목록을 직접 지정해야 한다. 지정하지 않으면 모두 허용되기 때문이다.

자주 묻는 질문

어떤 버전이 영향을 받나?

MCP 툴박스 포 데이터베이스 1.2.0~1.4.0이다. 6월 18일 나온 1.5.0과 이후 버전에는 수정이 들어 있다.

실제 공격 사례가 있나?

기록에 붙은 CISA 평가는 악용 '없음'이다. 구글도 공격 사례를 밝히지 않았다.

업그레이드만 하면 되나?

아니다. 구글은 허용 목록 설정과 최소 권한 실행도 함께 권고했다.

참고 자료

• CVE-2026-93328: Missing Authorization in MCP Toolbox for Databases allows Arbitrary File Read and Write — CVE 프로그램·구글 클라우드(2026년 10월 26일)
• feat(source/cloud-storage): restrict bucket and local path access — 깃허브 googleapis/mcp-toolbox
• Connect LLMs to Cloud Storage with MCP — 구글 클라우드 문서(2026년 8월 26일 갱신)
• CVE-2026-11720 — OpenCVE(2026년 6월 29일)
• CVE-2026-93328 — Strix