에이전트를 데이터베이스와 HTTP API에 붙이는 구글 공식 MCP 서버 MCP Toolbox(깃허브 별 1만 6천여 개)의 범용 HTTP 소스가 리다이렉트로 넘어간 목적지를 검사하지 않아, 호출자가 흔들 수 있는 요청이 169.254.169.254 같은 클라우드 메타데이터 주소로 끌려가면 그 환경이 쥐고 있던 자격 증명이 새어 나갈 수 있었어요 — CVE-2026-14540, CVSS 8.0(높음)이고 0.3.0부터 1.4.0까지가 대상이며 6월 18일 v1.5.0에서 수정됐어요. 다만 범용 http 소스를 설정해 둔 경우에만 해당하고 목적지 호스트 자체는 설정 파일에 고정돼 있어서, 리다이렉트가 그 경계를 넘어가는 통로였어요. 공식 점수표에도 알려진 악용 사례는 없다고(E:U) 적혀 있는데, 깃허브 보안 권고는 '미검토' 상태로 올라와 대상 패키지 칸이 비어 있어서 버전을 직접 확인하지 않으면 자동 알림으로는 걸리지 않아요.
용어 풀이
- SSRF
- 서버가 공격자 뜻대로 다른 주소에 대신 요청을 보내게 만드는 취약점
- MCP
- 에이전트를 외부 도구·데이터에 연결하는 표준 규격
- CVE
- 공개된 보안 취약점마다 붙는 국제 식별 번호
- CVSS
- 취약점 심각도를 0에서 10 사이 점수로 매기는 체계
- IP
- 인터넷에서 기계를 가리키는 주소
운영자 인사이트
MCP Toolbox를 굴리고 있다면 tools.yaml에 범용 http 소스가 있는지부터 보고 버전이 1.5.0 이상인지 확인하세요 — 실행 파일이나 컨테이너로 내려받아 쓰는 도구라 의존성 검사기가 대신 알려 주지 않고, 깃허브 권고에도 대상 패키지가 안 적혀 있어 자동으로는 안 걸려요. 데이터베이스 소스만 쓰고 있다면 이 건은 해당하지 않아요.
여러 관점으로 보기
- 수정 코드 리다이렉트 매 구간마다 목적지 IP를 다시 확인하고 사설·링크로컬 대역을 막는 SSRFGuard가 6월 18일 v1.5.0에 들어갔어요. GitHub
- 공식 판정 구글이 직접 낸 CVE 기록에 0.3.0부터 1.4.0까지가 대상이라고 적혀 있고, 점수는 CVSS 8.0(높음)이며 발견자 이름도 공로자로 올라 있어요. CVE Program
- 취약점 원인 공개 취약점 데이터베이스는 원인을 '리다이렉트를 제한하는 정책 훅 없이 클라이언트가 만들어졌고 목적지 IP 검사도 없었던 것'이라고 적어 뒀어요. OSV
- 자동 알림 사각 깃허브 보안 권고는 '미검토'로 올라와 대상 패키지 칸이 비어 있어서, 쓰는 쪽이 버전을 손으로 확인해야 해요. GitHub Advisory Database
- 발견자가 밝힌 경위 발견자는 신고부터 수정 병합까지 8일이 걸렸고 이름으로 공을 인정받았다고 적었는데, 이 기간은 본인 글에만 나오는 숫자예요. Hacker News
- 같은 릴리스의 다른 수정 v1.5.0 릴리스 노트에는 클라우드 헬스케어 소스의 pageURL 검증 추가 등 다른 SSRF 차단도 함께 올라와 있어요. GitHub