何が起きたか
NVD は 2026-08-11 に CVE-2026-19516 (CVSS 9.1, Critical) を公開しました。アドバイザリーは、以前の CVE (CVE-2026-15583) の修正が設定されたサービスアカウントトークンを意図しない宛先に送信されるのを防いだが、宛先自体を制限しなかったため、SSRF プリミティブがそのまま残っていることに注意しています。
なぜ重要か
MCP サーバーは定期的に、ブローカーがアクセスするバックエンドシステムの長期有効な認証情報を保持します（このウィンドウのより広い MCP データ公開テーマに従って）。この SSRF により、任意の MCP 呼び出し者が Grafana サーバーの認証されたネットワーク位置をピボットして内部サービスとクラウドメタデータ（認証情報盗難）に到達できます。これは、多くのエンタープライズ AI/エージェントスタックに統合された広く展開可能な可観測性ツールです。
攻撃経路
呼び出し者が提供した X-Grafana-URL リクエストヘッダーは mcp-grafana のアウトバウンドリクエストの宛先を制御し、grafana_api_request ツールにより、呼び出し者は HTTP メソッド、パス、本体も選択できます。宛先は設定された Grafana インスタンスに制限されていないため、攻撃者（任意の MCP ツール呼び出し者）は認証されたリクエストを内部、ループバック、リンクローカルサービス（クラウドメタデータエンドポイント含む）にリダイレクトし、レスポンスを読み取ることができます（SSRF）。
影響を受けるシステム
mcp-grafana (Grafana Labs Model Context Protocol サーバー)、修正リリース前
緩和策
mcp-grafana を修正されたリリースにアップグレードしてください。Grafana 認証情報で MCP ツールを呼び出すことができるプリンシパルを制限してください。アウトバウンド MCP リクエスト宛先に許可リストを適用してください。