무슨 일이 있었나
Google의 MCP Toolbox for Databases의 클라우드 스토리지 소스는 적절한 순회 제한이나 권한 부여 없이 도구 호출 경로를 해석합니다(CWE-22 / CWE-862). GitHub Advisory Database(GHSA-2gc9-c85v-5vwr)는 이를 CRITICAL(CVSS 9.3)로 평가했으며, 2026-10-26에 게시되었습니다; 인증되지 않은 원격 공격자는 호스트 파일을 외부 GCS 버킷으로 유출하고 임의 로컬 파일을 덮어쓸 수 있습니다.
왜 중요한가
이것은 Google이 승인한 MCP 데이터베이스 도구 서버를 실행하는 호스트에서 에이전트가 접근 가능한 인증되지 않은 파일 읽기/쓰기입니다. LLM 에이전트가 이러한 도구를 호출할 수 있으므로, 프롬프트 주입이나 직접 네트워크 호출자는 호스트의 비밀/환경 변수/자격 증명을 읽고 임의 로컬 파일(예: 구성 또는 cron)을 쓸 수 있습니다 — MCP 호스트로의 직접적인 발판입니다.
공격 경로
공격자는 의도된 디렉토리 밖으로 순회하는 조작된 경로로 MCP 클라우드 스토리지 도구를 호출하며, 도구에 권한 부여 확인이 없으므로 호스트 파일을 공격자가 통제하는 GCS 버킷으로 복사하고 MCP 서버를 실행하는 호스트의 임의 로컬 파일을 덮어쓸 수 있습니다.
영향받는 시스템
googleapis/mcp-toolbox (Google Cloud MCP Toolbox for Databases) 버전 1.2.0 이상 <1.5.0; 클라우드 스토리지 소스 구성 요소.
완화 방안
googleapis/mcp-toolbox 1.5.0 이상으로 업그레이드하세요 (PR #3454).