何が起きたか
レジストリは登録されたサーバーの上流アドレスを検証する際に内部/プライベート宛先をブロックしないため、認証されたユーザーが内部サービスまたはメタデータエンドポイントを指すサーバーを登録できます。ゲートウェイはその後そのアドレスにリクエストを発行し、応答を呼び出し元に返すことができます。
なぜ重要か
MCPデプロイメントでは、レジストリがすべてのエージェントツールトラフィックの前面に立ちます。ここでのSSRFにより、低権限のMCPユーザーが内部ネットワークサービスやクラウドメタデータにピボットでき、エージェント駆動攻撃の到達範囲を拡大できます。
攻撃経路
サーバーの登録/変更を許可された認証済みユーザーが、ゲートウェイにデプロイメントの内部ネットワーク上のサービス（クラウドインスタンスメタデータエンドポイントを含む）へのリクエストを送信させる上流アドレスを設定し、場合によっては応答がユーザーに返されます。
影響を受けるシステム
Amazon mcp-gateway-registry >= v1.0.3 かつ <= 1.34.0
緩和策
mcp-gateway-registry 1.35.0にアップグレードしてください（上流アドレスを検証します）。暫定対応: サーバー登録/変更権限を信頼できるアカウントに制限し、レジストリ/authサーバーコンポーネントからのアウトバウンドネットワークアクセスを制約し、IMDSv2を要求し、必要なロール権限のみを付与します。アップグレード後、登録された上流アドレスと予期しない登録/変更のログを確認してください。