무슨 일이 있었나
IBM ContextForge MCP Gateway 0.1.0부터 1.0.5까지는 OAuth 지원 게이트웨이 등록 중 oauth_config.token_url을 검증하지 않습니다. 게이트웨이 생성 권한이 있는 인증된 사용자는 내부 서비스, 클라우드 메타데이터 엔드포인트(AWS IMDSv1, GCP, Azure) 또는 localhost를 가리키는 악성 token_url을 제공할 수 있습니다. 앱은 해당 URL에 폼 인코딩된 자격 증명을 즉시 POST하며, 응답의 최대 256자가 HTTP 502로 반사되어 gateway.url에 적용되지만 OAuth 구성에는 적용되지 않는 SSRF 보호를 우회합니다.
왜 중요한가
MCP 게이트웨이에서 운영자는 에이전트가 도달할 수 있는 타사 도구를 제어합니다. 위조된 token_url은 낮은 권한의 게이트웨이 생성자가 클라우드 인스턴스 메타데이터(IAM 자격 증명)를 읽거나 게이트웨이 자체 자격 증명을 사용하여 내부 서비스에 접근한 후 반사된 응답을 유출할 수 있게 합니다. 이는 엔터프라이즈 MCP 인프라에서 구체적인 자격 증명/SSRF 경로입니다.
공격 경로
인증된 게이트웨이 등록 시 악성 oauth_config.token_url 제공으로 아웃바운드 POST 강제 및 응답 일부 반사
영향받는 시스템
IBM ContextForge MCP Gateway 0.1.0부터 1.0.5까지
완화 방안
IBM 권고(ibm.com/support/pages/node/7285723) 준수; OAuth token_url 검증/허용 목록 및 개인/루프백/메타데이터 엔드포인트 차단