何が起きたか
GoogleのMCP Toolbox for Databasesのクラウドストレージソースは、適切なトラバーサル封じ込めまたは認可なしでツール呼び出しパスを解決する（CWE-22 / CWE-862）。GitHub Advisory Database（GHSA-2gc9-c85v-5vwr）はこれをCRITICAL（CVSS 9.3）と評価し、2026-10-26に公開。認証なしのリモート攻撃者はホストファイルを外部GCSバケットに持ち出し、任意のローカルファイルを上書きできる。
なぜ重要か
これはGoogle公認のMCPデータベースツールサーバーを実行しているホスト上での、エージェント到達可能な認証なしファイル読み書きである。LLMエージェントがこれらのツールを呼び出せるため、プロンプトインジェクションまたは直接のネットワーク呼び出し元がホストの秘密/環境変数/資格情報を読み取り、任意のローカルファイル（例：設定やcron）を書き込むことができる。MCPホストへの直接的な足がかりとなる。
攻撃経路
攻撃者は、ツールが認可チェックを欠いている間に、意図されたディレクトリ外にトラバースする細工されたパスでMCPクラウドストレージツールを呼び出し、ホストファイルを攻撃者が制御するGCSバケットにコピーし、MCPサーバーを実行しているホスト上の任意のローカルファイルを上書きできる。
影響を受けるシステム
googleapis/mcp-toolbox（Google Cloud MCP Toolbox for Databases）バージョン1.2.0から<1.5.0まで。クラウドストレージソースコンポーネント。
緩和策
googleapis/mcp-toolbox 1.5.0以降にアップグレードする（PR #3454）。