무슨 일이 있었나
Google은 (2026-10-19) SAM의 MCP 프록시와 OIDC 등록 흐름을 통해 원격 공격자가 메시에 자체 등록하고 연결된 모든 MCP 백엔드 노드에서 임의 도구를 호출할 수 있다고 발표했습니다. CVSS 9.3 (v4.0) CRITICAL; CISA SSVC 익스플로잇=poc.
왜 중요한가
이것은 메시의 모든 MCP 도구와 에이전트 백엔드를 제어할 수 있는 자격 증명 없는 경로입니다. 등록 엔드포인트에 도달할 수 있는 공격자는 와일드카드 서비스/대상 바인딩을 가진 메시 자격 증명을 얻어 에이전트 플릿과 그 뒤에 있는 MCP 서버(명령 기반 포함)를 사실상 소유하게 됩니다.
공격 경로
MCP 프록시(mcp_service.go의 HandleStreamPassThrough)의 인증 누락 및 OIDC 등록 흐름의 안전하지 않은 기본값(GET /info 및 POST /register). GET /info는 OIDC 구성을 공개적으로 노출하고, POST /register는 클레임 필터링이나 차단 검사 없이 유효한 토큰 보유자를 자동 등록하며, 기본 정책은 sam:system:authenticated를 와일드카드 서비스 및 대상에 바인딩합니다 (CWE-862 + CWE-1188).
영향받는 시스템
Google SAM (github.com/google/sam) 0.1.0-alpha.1 ~ 0.1.0-alpha.8
완화 방안
v0.1.0-alpha.9 이상으로 업그레이드하세요 (실패-닫힘 기본 정책, 명시적 정책 바인딩, 차단 검사).