何が起きたか
GitHub Security Advisory / NVDは2026年9月16日にrmcpのOAuthトランスポートロジック(auth.rs)が発行されたトークンを意図したリソースサーバーにバインドできず、悪意のあるMCPサーバーが異なるサービスを対象とした正当なアクセストークンを取得できることを開示しました。
なぜ重要か
rmcpはMCPクライアント/サーバーを構築するための公式で広く埋め込まれたSDKです。OAuthフローのトークン偽装フローは、悪意のあるか侵害されたMCPサーバーが完全に異なる信頼されたサービスを対象とした認証情報をキャプチャできるようにして、MCPがセキュアなエージェント間ツール認証のために依存するOAuth委譲モデルを損なわせます。
攻撃経路
rmcp OAuth実装はRFC 9728「リソース」フィールドをResourceServerMetadataから省略し、discover_oauth_server_via_resource_metadataが信頼されていないソースから保護されたリソースメタデータを信頼することを許可し、悪意のあるMCPサーバーが異なる正当なリソースであると主張するメタデータを公開できるようにします。悪意のあるサーバーに接続する被害者は、正当なアクセストークンを取得して攻撃者に送信するようにだまされることがあり、攻撃者は実サービスに対して被害者になりすまします。
影響を受けるシステム
rmcp (Rust MCP SDK) < 2.0.0
緩和策
rmcpを >= 2.0.0にアップグレードします。トークン交換の前にOAuthリソースサーバーメタデータがRFC 9728リソースフィールドを含め、検証することを確認します。