무슨 일이 있었나
NVD는 2026-07-31에 5개의 관련 mcp-toolbox CVE를 발행했으며, LLM 에이전트에게 데이터베이스 액세스를 제공하는 데 사용되는 Google의 공식 MCP Toolbox for Databases의 권한 우회, SSRF, 인증/청중 혼동 우회, 리소스 고갈 DoS 및 BigQuery 데이터셋 범위 우회를 다룹니다.
왜 중요한가
mcp-toolbox는 에이전트를 데이터베이스에 연결하기 위한 Google의 공식 유지 관리 MCP 서버입니다. 이러한 결함을 연결하면 인증되지 않거나 범위가 부족한 공격자가 권한 있는 데이터베이스 도구를 호출하고, SSRF를 통해 내부 네트워크로 피벗하거나, 테넌트별 데이터셋 액세스 제어를 우회할 수 있습니다 — 이 도구 상자를 BigQuery/데이터베이스 액세스에 사용하는 엔터프라이즈 에이전트 배포 전체에 걸친 의미 있는 영향 범위입니다.
공격 경로
여러 가지 서로 다른 결함: (1) CVE-2026-14537 — 잘못된 권한 부여로 인해 --enable-api가 설정되었을 때 레거시 HTTP 엔드포인트를 통해 인증되지 않은 공격자가 범위 보호 도구를 호출할 수 있습니다. (2) CVE-2026-14540 — 일반 HTTP 소스/도구의 SSRF로 CheckRedirect 정책과 IP 검증이 없습니다. (3) CVE-2026-14541 — authService가 명시적인 청중/clientId를 가지지 않을 때 Google OAuth 제공자 청중 혼동 인증 우회입니다. (4) CVE-2026-14539 — /mcp 엔드포인트를 통한 무제한 메모리 할당 DoS입니다. (5) CVE-2026-14538 — 드라이 런 API 의존성을 통한 BigQuery allowedDatasets 제한 우회입니다.
영향받는 시스템
Google mcp-toolbox (googleapis/mcp-toolbox) 버전 0.3.0부터 1.4.0까지, 그리고 DoS 변형의 경우 1.4.0까지
완화 방안
연결된 GitHub PR(3435, 3448, 3450, 3216, 3452)에 따라 mcp-toolbox를 1.4.0 이상으로 업그레이드하세요. Google authService에 대해 명시적으로 청중/clientId를 구성합니다. 필요하지 않은 한 --enable-api가 설정되었을 때 레거시 HTTP 엔드포인트를 비활성화합니다.