何が起きたか
NVD は 2026-07-27 に CVE-2026-16481 (CVSS 8.4、高) を公開し、公式 Google Cloud MCP Toolbox for Databases のヘルスケア FHIR ページネーションツールにおける SSRF および認証情報流出の脆弱性について説明しました。このツールは、攻撃者/エージェント提供の pageURL を、送信先ホストを検証せずに認証済みの Google Cloud Healthcare API クライアントに転送します。
なぜ重要か
MCP Toolbox for Databases は Google が広く使用している (GitHub スター 16,000 以上) オープンソース MCP サーバーで、LLM エージェントがヘルスケア FHIR ストアを含む構造化データソースをクエリできます。信頼されていない FHIR ページネーションリンクを処理するか、プロンプト注入によって提供を強制されるあらゆる AI エージェントワークフローは、サービスアカウント認証情報を攻撃者制御サーバーに漏らす可能性があります。これはツールがヘルスケア隣接の AI エージェント統合にデプロイされていることを考えると深刻な影響範囲です。
攻撃経路
cloud-healthcare-fhir-fetch-page ツールは未検証の pageURL パラメータ (FHIR Bundle.entry.link.url を意図) を取得し、認証済みの Google Cloud Healthcare API クライアントを使用して HTTP GET を発行します。ツールが URL が正当な FHIR ストアを指しているかどうかを検証しないため、pageURL 値に影響を与えることができる攻撃者 (例えば、汚染されたアップストリーム FHIR レスポンス、プロンプト注入、またはエージェントに与えられた悪意あるサーチ結果経由) は、認証済みクライアントを任意の内部/外部エンドポイントにリダイレクトでき、SSRF および攻撃者制御サーバーへのサービス OAuth 認証情報/トークンの流出を引き起こす可能性があります。
影響を受けるシステム
googleapis/mcp-toolbox (MCP Toolbox for Databases)、cloud-healthcare-fhir-fetch-page ツール
緩和策
googleapis/mcp-toolbox の PR #3453 を修正するパッチ版にアップグレードしてください。認証済みリクエストをディスパッチする前に pageURL が予想される FHIR ストアホスト/パターンと一致することを検証してください。