何が起きたか
NVD は 2026年8月29日にこの重大度 (CVSS 4.0 = 10.0) の脆弱性を公開しました: AI エージェント/自動化を Argo CD の GitOps コントロールプレーンに橋渡しする MCP サーバーは、アウトバウンド Argo CD API トークンが設定されたときはいつでも、インバウンド認証ゼロで tool surface を公開し、ネットワークに到達可能な任意のアクターがエージェント自身の特権認証情報を通じて Argo CD を完全に制御できるようにしています。
なぜ重要か
これは教科書的なエージェント権限混同バグです: AI エージェントが CI/CD を駆動できるようにする MCP サーバーが、「エージェントが行動することが許可されている」ことと「エージェントに到達できる誰でも行動することが許可されている」ことを混同しています。このMCPサーバーを共有ネットワークまたは CI ランナーに公開する組織はすべて、完全な GitOps 乗っ取りを許可します — 攻撃者が制御するマニフェストは本番クラスタに直接同期できます。
攻撃経路
argocd-mcp 0.8.0 は HTTP トランスポートを 0.0.0.0 (すべてのインターフェース) にバインドし、ARGOCD_API_TOKEN が設定されている場合、呼び出し元の認証情報を検証することなくネットワーク到達可能な任意の呼び出し元から MCP セッションを受け入れます。リスナーに到達できる認証なしの攻撃者は、オペレータが保存している Argo CD トークンを継承し、完全な MCP tool surface を呼び出せます — アプリケーションを作成し、同期をリクエストし、Argo CD リソースを変更できます。
影響を受けるシステム
argocd-mcp (argoproj-labs/mcp-for-argocd) == 0.8.0
緩和策
argocd-mcp 0.9.0+ にアップグレードしてください。HTTP リスナーをデフォルトでループバック (127.0.0.1) にバインドし、認証する reverse proxy を前に配置し、DNS rebinding 保護を伴う許可ホスト/オリジンを強制し、インバウンド MCP 呼び出し元の識別とアウトバウンド Argo CD 認証情報を別個の信頼ドメインとして扱います。