CVE-2026-14471 - mcp-gateway-registry のメトリクスサービス保持ポリシーサブシステムにおける認証済み SQL インジェクション
速報 ID: 2026-052-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 7 月 6 日 13 時 45 分 (PDT)
説明:
Amazon mcp-gateway-registry は、モデルコンテキストプロトコル (MCP) サーバー用のオープンソースゲートウェイおよびレジストリであり、AI エージェント向け MCP ツールの一元的な検出、認証/認可、プロキシを提供します。メトリクスサービス保持ポリシー管理コンポーネントにおいて、呼び出し元から指定された table_name の値が、適切に無効化されずに識別子の位置にある SQL ステートメントに挿入されてしまう問題 (CVE-2026-14471) が確認されました。認証済みのリモートユーザーは、細工した table_name 値を指定することで、メトリクスデータベースに対して任意の SQL クエリを実行できます。これにより、ユーザーは保存データ (API キー情報など) を読み取ったり、保存データを削除または変更したりすることができます。
影響を受けるバージョン: >=1.0.3 および <=1.0.12
解決方法:
この問題は mcp-gateway-registry バージョン 1.0.13 で解決されました。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
回避策:
回避策はありません。バージョン 1.0.13 以降にアップグレードする必要があります。GitHub リポジトリで最新リリースを確認してください。
参考情報:
謝辞:
協調的開示プロセスを通じてこの問題に協力してくださったセキュリティリサーチコミュニティに感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。