つみかさね

CVE-2026-50027

Critical(9.8)

mcp-memory-serviceの認証欠如 CVE-2026-50027：影響範囲と対応方法

公開日: 2026-09-17データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
mcp-memory-servicedoobidoo (OSS)< 10.67.1

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1pip show mcp-memory-service でバージョンを確認
  2. 2mcp-memory-service 10.67.1 以降へアップデート
  3. 3アップデートが困難な場合は外部からのアクセスを遮断し前段で認証を行う

影響対象

mcp-memory-service の利用者ローカルAI開発環境

対応不要な人

  • ✓mcp-memory-service を使用していない
  • ✓外部からアクセスできない構成
  • ✓10.67.1 以降へ更新済み

補足

  • -API KeyやOAuthを設定していても保護されないため、露出している場合は最優先で対応してください
CVEMCP認証欠如AI

30秒で判断

  • 対応すべき人: mcp-memory-service 10.67.1 より前を、ネットワークからアクセス可能な形で動かしている方
  • 対応不要な人: mcp-memory-service を使用していない、外部からアクセスできない構成、10.67.1 以降へ更新済みの方
  • 確認コマンド: pip show mcp-memory-service でバージョンを確認
  • クイックアクション: mcp-memory-service 10.67.1 以降へアップデート

概要

mcp-memory-service は AIアプリケーション向けのセマンティックメモリ層です。10.67.1 より前のバージョンでは、サーバーに MCP_API_KEY や OAuth を設定していても、/api/documents/* 配下の すべてのHTTPルートが認証なしで公開 されます（CWE-306: 重要機能に対する認証の欠如）。未認証のリモート攻撃者が、メモリストアへの任意コンテンツのアップロード（書き込み）や保存済みドキュメントの取得（読み取り）を行える可能性があります。

CVSSスコアは 9.8（Critical） です。

CVSSベクトル

項目値
CVSSスコア9.8
深刻度Critical
CWECWE-306

影響を受けるソフトウェア

製品ベンダー影響バージョン
mcp-memory-servicedoobidoo (OSS)< 10.67.1

修正バージョンと回避策

10.67.1 で修正されています。アップデートを実施してください。更新が難しい場合は、当該サービスを外部ネットワークから到達できない構成にする、リバースプロキシで認証を前段に置くといった回避策を優先してください。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-50027
GitHub Advisoryhttps://github.com/advisories/GHSA-84hp-mqvj-3p8h
PyPIhttps://pypi.org/project/mcp-memory-service

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-50027
GitHub Advisory:https://github.com/advisories/GHSA-84hp-mqvj-3p8h
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。