30秒で判断
- 対応すべき人: googleapis/mcp-toolbox の prebuilt BigQuery forecasting ツール（bigquery-forecast）を利用している方。
- 対応不要な人: 修正版を利用中の方、bigquery-forecastツールを使用していない方。
- 確認コマンド: mcp-toolbox のバージョンと有効化しているツール構成を確認。
概要
googleapis/mcp-toolbox の prebuilt BigQuery forecasting ツール（bigquery-forecast）が、クライアント制御のパラメータ（data_col / timestamp_col / id_cols）をエスケープせずに、生成される AI.FORECAST クエリへ組み込みます。allowedDatasets による制限は history_data パラメータのみを検証するため、最終的に組み立てられたクエリは再検証されずに実行されます（CWE-89, CWE-863）。
この結果、攻撃者は文字列リテラルのフィールドから抜け出してクエリブロックを注入し、operator が設定した allowedDatasets の境界を回避して任意のBigQueryテーブルを読み取れる可能性があります。MCP経由でLLMにツールを提供している環境では、境界設定の実効性を確認する必要があります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.1（High） |
| 攻撃元区分 (AV) | ネットワーク |
| 攻撃条件の複雑さ (AC) | 低 |
| 必要な権限 (PR) | 低 |
| CWE | CWE-89（SQLインジェクション）/ CWE-863（不適切な認可） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| mcp-toolbox (bigquery-forecast) | 修正版未適用のバージョン |
修正バージョンと回避策
mcp-toolbox を修正版へアップデートしてください。あわせて、BigQueryツールに付与する権限とアクセス可能なデータセットの範囲を最小化することを推奨します。
関連リンク
データソース: NVD (NIST), googleapis/mcp-toolbox GitHub AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。