何が起きたか
MCP OAuthログインフローは、サーバー自身が広告する保護リソースメタデータをRFC 8707リソースインジケータとして信頼し、クライアントが意図しなかったリソースにスコープされたトークンを発行/受信します。インジケータが設定されたサーバーURLに対して検証されないため、悪意のあるMCPサーバーは同じ認証サーバー上の別のリソースのベアラートークンを取得し、そこで再生できます。
なぜ重要か
MCPサーバーはAIエージェントやコーディングツールによって日常的に追加され、ユーザーの代わりに長命のOAuthトークンを取得します。トークン混乱の欠陥により、悪意のあるMCPサーバーが別のリソース向けの資格情報を窃取でき、ユーザーの他のMCPエンドポイント/AIサービスへの不正アクセスが可能になります。
攻撃経路
両方の実装は、サーバー提供の保護リソースメタデータ / well-knownメタデータをRFC 8707リソースインジケータとして使用し、それが設定されたサーバーURLと一致するかどうかをチェックしません。悪意のあるMCPサーバーは別のリソース（または別のMCPサーバー）をリソースインジケータとして宣言し、認証サーバーがそのターゲットリソースのベアラートークンを発行するようにし、攻撃者は盗んだトークンを他のリソースに対して再生します。
影響を受けるシステム
ChatCLI < v1.215.2（CVE-2026-123271）; Mark3labs mcp-go < v1.2.1（CVE-2026-123272）
緩和策
ChatCLIを>=v1.215.2（GHSA-95vg-3r9c-2v5q）に、Mark3labs mcp-goを>=v1.2.1（GHSA-xf6j-693p-wqxx）にアップグレードしてください。クライアントのOAuthフローが期待するリソースインジケータを設定されたサーバーURLに固定していることを確認してください。