何が起きたか
CVE-2026-115751（2026年10月23日公開）は、Agentfrontのmcp-from-openapi MCP仕様ジェネレーターにおけるサーバーサイドリクエストフォージェリです。そのssrf.blockedHosts拒否リストは、ブロックされたホスト名に末尾ドットを追加することでバイパスできます（ルートドットトリック）。これにより、悪意のある仕様/リダイレクトが、構成されたブロックリストにもかかわらずサーバーをSSRFに誘導できます。
なぜ重要か
mcp-from-openapiは信頼されていないOpenAPI仕様をライブMCPツールに変換します。SSRFブロックのバイパスにより、攻撃者ディレクター/フェッチャーがエージェントツールサーフェスから内部またはクラウドメタデータエンドポイントに到達できます。露出は狭いですが、MCPツールにおける拒否リスト正規化の弱点の実際の例です。
攻撃経路
OpenAPI仕様URL（またはオープンリダイレクト）を制御する攻撃者は、ブロックされたホスト名に末尾のルートドットを追加します。拒否リスト比較がリテラルであるため、末尾ドット付きホスト名は異なるホストとして扱われ、SSRFブロックをバイパスし、MCPサーバーが攻撃者が選択した内部/クラウドメタデータエンドポイントを取得できるようにします。
影響を受けるシステム
Agentfront mcp-from-openapi >= 2.2.0, < 2.9.0
緩和策
mcp-from-openapi 2.9.0にアップグレード（コミット47fb7a6）。それまで、blockedHostsと比較する前にホスト名を検証/正規化し（末尾ドットを除去）、信頼する仕様URLを固定してください。