Apa yang terjadi
Google menerbitkan (2026-10-19) bahwa proxy MCP dan alur registrasi OIDC di SAM memungkinkan penyerang jarak jauh mendaftarkan diri sendiri ke mesh dan memanggil alat arbitrer di semua node backend MCP yang terhubung. CVSS 9.3 (v4.0) KRITIS; CISA SSVC exploitation=poc.
Mengapa penting
Ini adalah jalur tanpa kredensial untuk mengendalikan setiap alat MCP dan backend agen di mesh. Penyerang yang dapat mengakses endpoint registrasi mendapatkan kredensial mesh dengan binding layanan/target wildcard, secara efektif memiliki armada agen dan server MCP apa pun (termasuk yang berbasis perintah) di belakangnya.
Vektor serangan
Kurangnya otorisasi di proxy MCP (HandleStreamPassThrough di mcp_service.go) ditambah default tidak aman dalam alur registrasi OIDC (GET /info dan POST /register). GET /info secara publik mengungkapkan konfigurasi OIDC, POST /register secara otomatis mendaftarkan pemegang token yang valid tanpa pemfilteran klaim atau pemeriksaan larangan, dan kebijakan default mengikat sam:system:authenticated ke layanan dan target wildcard (CWE-862 + CWE-1188).
Sistem yang terdampak
Google SAM (github.com/google/sam) 0.1.0-alpha.1 hingga 0.1.0-alpha.8
Mitigasi
Tingkatkan ke v0.1.0-alpha.9 atau lebih baru (kebijakan default fail-closed, pengikatan kebijakan eksplisit, pemeriksaan larangan).