무슨 일이 있었나
NVD는 2026-09-22에 CVE-2026-19202(시드 기준 ~CVSS 9.1)를 게시했습니다: Google MCP Toolbox SDK의 toolbox-core 패키지의 캐싱 결함이 요청된 대상(audience)으로 키를 지정하지 않는 모듈 수준 캐시 때문에 다른 대상 간에 동일한 Google ID 토큰을 재사용하여, 민감한 서비스용 토큰이 다른 서비스에 전달되어 가장에 재생 가능합니다.
왜 중요한가
이것은 MCP/에이전트 도구 계층의 AI SDK 자격 증명 처리 결함입니다: 에이전트 애플리케이션의 토큰 ID가 신뢰 경계 간에 조용히 재사용되어 에이전트의 Google ID에 대한 교차 서비스 가장을 가능하게 합니다 — 한 프로세스가 많은 도구/서비스를 호출하는 에이전트 생태계에서 증폭되는 자격 증명 경계 실패 클래스와 정확히 일치합니다.
공격 경로
SDK의 toolbox-core는 요청된 대상(audience) 없이 키가 지정된 Google ID 토큰을 캐시합니다. 동일한 프로세스가 여러 대상에 대한 토큰을 요청하면 서비스 A용 캐시된(유효하고 만료되지 않은) 토큰이 서비스 B에 전달됩니다. 서비스 B를 운영하거나 모니터링하는 공격자는 토큰을 수집하여 서비스 A에 재생하여 애플리케이션/MCP 호출자를 가장합니다.
영향받는 시스템
Google mcp-toolbox-sdk-python (toolbox-core 패키지 토큰 캐시), 취약한 버전은 PR #675에서 수정됨
완화 방안
googleapis/mcp-toolbox-sdk-python PR #675의 수정 사항(캐시된 토큰을 대상(audience)별로 키 지정 / 교차 대상 재사용 제거)을 적용하고 SDK를 업그레이드하세요. 예기치 않은 대상에 전달되었을 수 있는 ID 토큰을 교체하세요. 패치될 때까지 단일 프로세스 다중 대상 인증 흐름을 피하세요.