何が起きたか
AI エージェントが OpenAPI/Swagger 仕様を取得できる MCP ツールがターゲット URL の検証を実施しておらず、エージェント（または入力を操作する攻撃者）が内部 URL またはクラウドメタデータ URL を提供した場合に従来の SSRF が可能になります。CVSS 6.3（中）。
なぜ重要か
LLM エージェントに公開された「URL を取得する」ツールが攻撃者の選択した URL に向けてエージェントを誘導できた場合（プロンプトインジェクションまたは悪意のあるタスク入力を経由して）に内部インフラへのピボットになる、反復的な MCP サーバー SSRF パターンを実証します。
攻撃経路
src/utils/swagger-parser.ts の loadSource 関数は fetch_swagger MCP ツール経由で呼び出され、攻撃者が供給した URL を検証なしで取得します。これにより内部ネットワークリソースに対する SSRF が可能になります。
影響を受けるシステム
swagger-testcase-mcp (eyaushev/swagger-testcase-mcp)、コミット 5babb27
緩和策
開示時に特定される修正版なし。MCP サーバーホストからのエグレスを制限し、swagger ソース URL を検証/許可リスト化してください。