AWSは、mcp-gateway-registryのサーバー登録・更新APIに存在するサーバーサイドリクエストフォージェリ（SSRF）の欠陥「CVE-2026-125926」を公表しました。
mcp-gateway-registryは、Model Context Protocol（MCP）サーバー向けのオープンソースのレジストリ兼プロキシです。登録されたツール資産の検出、アクセス制御、プロキシ処理を担います。
AWSは2026年11月11日、セキュリティ速報「Bulletin 2026-180-AWS」でこの問題を公表し、重要度を「Important」と評価しました。GitHubのアドバイザリ「GHSA-fc39-fwh3-wv5r」では、CVSS 3.1のスコアが8.5（High）、ベクターが AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N とされています。分類はCWE-918です。
根本原因は、登録されたサーバーのアップストリームアドレスに対する検証が欠けていたことです。サーバーの登録や変更の権限を持つ認証済みユーザーは、デプロイ環境の内部ネットワーク上にあるサービスを指すアップストリームアドレスを設定できました。
するとゲートウェイは、そのユーザーに代わって宛先へリクエストを送信し、場合によってはレスポンスも返しました。同様のSSRFの手口により、最近も、公開状態のMLflow環境から攻撃者がクラウド認証情報を窃取する事例が起きています。
アドバイザリは、ネットワーク構成によっては、クラウドのインスタンスメタデータサービス（IMDS）やそこで発行される認証情報にも到達できる可能性があると警告しています。
クラウドロールを割り当てた状態でレジストリを稼働させている場合、そのロールの一時的な認証情報が漏えいする恐れがあります。攻撃者はこの認証情報を使い、より広範なAWS環境へ侵入を広げられます。
ゲートウェイは信頼されたネットワーク上の位置にあるため、この欠陥はMCP環境が頼りにしがちなネットワーク分離も破ります。研究者らは、公開されているMCPサーバー全般でこうしたリスクを指摘しています。
影響を受けるのはv1.0.3から1.34.0までです。AWSはmcp-gateway-registry 1.35.0で欠陥を修正しました。このバージョンでは、登録時と変更時にアップストリームアドレスを検証します。
これとは無関係の管理APIの問題が、1.25.0で別途修正されています。そのため、1.25.0以降を使っている環境でも、1.35.0に更新するまではこのSSRFの影響を受けます。フォークや派生コードにも修正の適用が必要です。
1.35.0は、アップグレード前に保存されたサーバー設定を書き換えません。このため、不正に設定されたエントリはパッチを適用しても残ります。管理者は、登録済みのすべてのサーバーのアップストリームアドレスを確認し、意図していないものは削除してください。
あわせて、影響を受けた期間のアプリケーションログを調べ、不審な登録や変更がないかを監査する必要があります。レジストリがクラウドロールを割り当てた状態で稼働しており、ログから悪用の可能性を排除できない場合は、そのロールのアクティビティを確認し、認証情報をローテーションしてください。
AWSのアイデンティティが侵害されて認証情報が盗まれる手口は繰り返し見られます。攻撃者が盗んだQuboleのAWS認証情報を悪用した事例もその一つです。
すぐにアップグレードできない場合は、いくつかの対策で被害のリスクを下げられます。登録・変更の権限を信頼できるアカウントに限定し、レジストリと認証サーバーコンポーネントからの外向き通信を、必要な宛先のみに制限できます。
Amazon EC2ではIMDSv2を強制し、割り当てた各ロールに最小権限のポリシーを適用すべきです。これらの対策は、アップグレード後の確認作業の代わりにはなりません。
脅威調査を効率化し手作業を減らすために、1万6,000以上のSOCチームがANY.RUNを利用しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/aws-mcp-gateway-ssrf-flaw/
