Google Cloud MCP Toolbox for Databases: Path Traversal und fehlende Autorisierung im Cloud-Storage-Source

Zusammenfassung

Die Versionen 1.2.0 bis 1.4.0 des MCP Toolbox for Databases enthalten im Cloud-Storage-Source eine Path-Traversal- und Autorisierungslücke. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch manipulierte Tool-Aufrufparameter Host-Dateien in externe Google Cloud Storage Buckets kopieren und beliebige lokale Dateien überschreiben. Die Lücke ist ohne Authentifizierung erreichbar, daher sind HTTP-exponierte Instanzen mit aktivierten Cloud-Storage-Tools am stärksten gefährdet.

Betroffen

• Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) 1.2.0 bis vor 1.5.0
• Standardkonfiguration: gemäss CVE-Eintrag nicht betroffen (Formulierung unklar, siehe Empfehlung)

Behoben in

• Version 1.5.0 (Korrektur: Einschränkung des Bucket- und lokalen Pfadzugriffs, PR #3454)
• Gegen die offizielle Sicherheitsmitteilung von Google prüfen, da während der Recherche keine Google-Sicherheitsmitteilung gefunden wurde

Umgehung

• allowedLocalRoots auf eng begrenzte, isolierte Verzeichnisse und allowedBuckets auf explizite Buckets im Cloud-Storage-Source setzen
• / nicht in allowedLocalRoots aufnehmen
• Den Toolbox-Dienst als unprivilegierten Betriebssystembenutzer betreiben und dessen Google Cloud IAM-Berechtigungen einschränken
• Cloud-Storage-Tools entfernen, falls nicht genutzt, und den Netzwerkzugriff auf den Toolbox-Endpunkt einschränken

Ausnutzung

• CISA KEV: nicht aufgeführt
• EPSS: unter 1 Prozent
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; es gibt öffentliche technische Diskussionen, daher sind Angriffsversuche nach Verbreitung der Details möglich

Unsere Empfehlung

• Auf MCP Toolbox 1.5.0 oder neuer aktualisieren
• Nicht allein auf das Update verlassen: allowedLocalRoots und allowedBuckets explizit konfigurieren, da ein offener PR (#4345) meldet, dass der lokale Dateizugriff ohne allowedLocalRoots nicht eingeschränkt ist
• Prüfen, ob die Toolbox aus dem Internet erreichbar ist, insbesondere HTTP-Deployments wie Cloud Run
• Logs auf unerwartete Cloud-Storage-Uploads und Dateiänderungen prüfen und bei Verdacht auf Missbrauch die Zugangsdaten des Dienstkontos rotieren
• Dienst mit minimalen Berechtigungen betreiben

Quellen der Recherche

• GitHub Pull Request #3454 (fix) github.com
• GitHub Pull Request #4345 (open, fail-open report) github.com
• MCP Toolbox cloud-storage source documentation mcp-toolbox.dev
• GitHub Advisory GHSA-2gc9-c85v-5vwr github.com
• OffSeq radar entry for CVE-2026-93328 radar.offseq.com
• OpenCVE CVE-2026-93328 app.opencve.io
• LinuxSecurity news on MCP Toolbox host file access linuxsecurity.com
• Google Cloud Storage pre-built tools with MCP Toolbox docs.cloud.google.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:41.