何が起きたか
IBM ContextForge MCP Gateway 0.1.0から1.0.5は、OAuth対応ゲートウェイ登録時にoauth_config.token_urlを検証しません。ゲートウェイ作成権限を持つ認証済みユーザーは、内部サービス、クラウドメタデータエンドポイント（AWS IMDSv1、GCP、Azure）、またはlocalhostを指す悪意のあるtoken_urlを提供できます。アプリは即座にフォームエンコードされた資格情報をそのURLにPOSTし、応答の最大256文字がHTTP 502で反射されます。これは、gateway.urlに適用されるSSRF保護をバイパスしますが、OAuth設定には適用されません。
なぜ重要か
MCPゲートウェイでは、オペレーターがエージェントが到達するサードパーティツールを制御します。偽造されたtoken_urlにより、低権限のゲートウェイ作成者はクラウドインスタンスメタデータ（IAM資格情報）を読み取ったり、ゲートウェイ自身の資格情報を使用して内部サービスにアクセスし、反射された応答を外部に持ち出すことができます。これはエンタープライズMCPインフラにおける具体的な資格情報/SSRFパスです。
攻撃経路
認証済みゲートウェイ登録による悪意のあるoauth_config.token_urlの提供が、アウトバウンドPOSTを強制し、応答の一部を反射する
影響を受けるシステム
IBM ContextForge MCP Gateway 0.1.0から1.0.5
緩和策
IBMアドバイザリ（ibm.com/support/pages/node/7285723）に従う。OAuth token_urlを検証/許可リスト化し、プライベート/ループバック/メタデータエンドポイントをブロックする