Podatności Google mcp-toolbox

W Google mcp-toolbox w wersjach v1.3.0 i v1.4.0, nieprawidłowa autoryzacja w punkcie końcowym bezpośredniego wywołania narzędzia HTTP API pozwala nieuwierzytelnionemu atakującemu na wywoływanie narzędzi chronionych funkcją scopeRequired przez legacy endpointy HTTP, gdy flaga --enable-api jest aktywna.

W Google mcp-toolbox w wersji 1.4.0, gdy uwierzytelnianie Google OAuth jest skonfigurowane z mcpEnabled: true bez jawnego audience lub clientId, pomijana jest walidacja audience dla tokenów opaque, co pozwala na akceptację dowolnego ważnego tokena Google OAuth z innych aplikacji.

W Google mcp-toolbox w wersjach 0.3.0 do 1.4.0 istnieje podatność SSRF w komponentach źródła HTTP i narzędzi, spowodowana brakiem restrykcyjnej polityki CheckRedirect i walidacji IP docelowego, co pozwala na przekierowanie żądań do wewnętrznych lub zewnętrznych punktów końcowych.

Google mcp-toolbox w wersjach do 1.4.0 zawiera podatność na nieograniczoną alokację zasobów w komponencie HTTP handler. Punkt końcowy /mcp odczytuje przychodzące dane bezpośrednio do pamięci systemowej za pomocą nieograniczonej pętli bufora (io.ReadAll) bez stosowania ograniczeń obronnych, takich jak http.MaxBytesReader. Nieuwierzytelniony atakujący może wysłać pojedyncze, ogromne żądanie HTTP, powodując liniowe zużycie pamięci hosta aż do zakończenia procesu przez błąd OOM.

Google mcp-toolbox w wersjach od 0.16.1 do 1.4.0 zawiera podatność na nieprawidłową autoryzację i obejście granicy bezpieczeństwa w komponencie bigquery-execute-sql. Narzędzie polega na API BigQuery dry-run w celu egzekwowania ograniczeń zbiorów danych, ale z powodu błędu logiki fail-open pomija walidację, gdy API zwraca pustą tablicę dla specjalistycznych konstrukcji. Uwierzytelniony atakujący może wyodrębnić strukturalne schematy DDL dla wykluczonych zbiorów danych poprzez INFORMATION_SCHEMA oraz uzyskać dostęp do sfederowanych danych wierszowych poprzez połączenia EXTERNAL_QUERY.