何が起きたか
AWS は（セキュリティ速報2026-070-AWS、2026年8月3日公開）Amazon MQ MCP Server の RabbitMQ ブローカー接続ツールの不適切なエンドポイント制限を公開し、リモート非認証攻撃者がプロンプトインジェクション経由でブローカー認証情報または OAuth トークンを攻撃者制御のエンドポイントに流出させることを許可しました。
なぜ重要か
これは、新たに出現する MCP 認証情報流出プロンプトインジェクション パターンのもう1つのインスタンスです。エンタープライズメッセージブローカーへの MCP ツールアクセスを持つ AI アシスタントは、ライブ認証情報を攻撃者に漏らすように誘導でき、本番メッセージングインフラストラクチャへの横展開を可能にします。
攻撃経路
RabbitMQ ブローカー接続ツール（rabbitmq_broker_initialize_connection / _with_oauth）は、MCP クライアントコンテキスト経由で LLM 制御可能な broker_hostname 引数を受け入れます。攻撃者制御のエンドポイントを指す プロンプトインジェクション ホスト名により、サーバーは正当なブローカーではなくそのエンドポイントに Amazon MQ RabbitMQ ブローカー認証情報または OAuth アクセストークンを送信します。
影響を受けるシステム
awslabs.amazon-mq-mcp-server (Amazon MQ MCP Server) <= 2.0.23
緩和策
awslabs.amazon-mq-mcp-server 2.0.24+ にアップグレードしてください。パッチが適用されるまで、影響を受けるツールの自動承認を無効にして、実行前にユーザーが broker_hostname を視覚的に検査する必要があるようにしてください。