Google CloudのAIコネクタに深刻な脆弱性、CVSS 9.3

Google Cloudは、データベース向けのModel Context Protocolツール「MCP Toolbox」に登録した脆弱性CVE-2026-93328を公開した。CVSS 4.0の深刻度スコアは9.3で、影響を受けるのはバージョン1.2.0から1.5.0未満だ。dailysecu.comが報じた。

脆弱性の原因は、Google Cloud Storageに接続する機能におけるファイルパスの検証とアクセス権限のチェックが不十分なことにある。攻撃者が細工したリクエストを送ると、サーバーに保存されたファイルを攻撃者の指定する外部クラウドストレージへ送信したり、既存のファイルを上書きしたりできる可能性がある。

一定の条件下では、認証を受けていない遠隔の攻撃者もこの脆弱性を悪用できるという。

推奨される対策

Google Cloudはバージョン1.5.0以降への更新を推奨し、サーバーからアクセス可能なローカルディレクトリとクラウドストレージを明示的に制限するよう求めている。あわせて、AIコネクタツールが使用するOSアカウントとクラウドのアクセス権限を最小限に抑えるべきだとしている。