CVE-2026-11717: Google MCP Toolbox for Databases: bypass de autenticação na introspecção de tokens opacos

Visão geral

A CVE-2026-11717 afeta a rotina genérica de validação de tokens opacos (validateOpaqueToken) do googleapis/mcp-toolbox, catalogado como Google MCP Toolbox for Databases. Quando o toolbox valida um token opaco junto a um endpoint de introspecção OAuth 2.0 (RFC 7662), ele decodifica a resposta em uma estrutura cujo campo Active é um ponteiro booleano que pode ser nulo. O código só rejeita o token quando esse campo está presente e explicitamente falso. Se a resposta omitir por completo a chave obrigatória "active", a verificação é ignorada e o token é aceito. A falha é classificada como CWE-287 (Autenticação Imprópria).

Impacto

O NVD atribui nota 9,1 (Crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, e o CNA (Google) atribui 9,3 no CVSS 4.0. Segundo a descrição, aceitar tokens sem o campo "active" concede acesso a ferramentas protegidas e às fontes de dados subjacentes, com alto impacto em confidencialidade e integridade dos bancos acessíveis pelo toolbox. A explorabilidade provavelmente depende do comportamento do endpoint de introspecção: a condição ocorre quando ele devolve um payload sem "active", por exemplo em respostas fora do padrão, mal configuradas ou de erro.

Produtos e versões afetados

Google MCP Toolbox for Databases (googleapis/mcp-toolbox): da versão 1.0.0 até a 1.3.0, inclusive.

Espera-se que apenas implantações que usam o caminho genérico de introspecção de tokens opacos estejam expostas; essa delimitação é uma inferência a partir da descrição.

Status de exploração

A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS.

Correção e mitigação

Aplique a correção referenciada no pull request 3341, atualizando para uma versão que a inclua. O registro não informa a versão corrigida; confirme nas notas de lançamento do projeto.
Garanta que o endpoint de introspecção OAuth 2.0 sempre retorne o campo "active", conforme exige a RFC 7662, inclusive em caminhos de erro.
Até corrigir, restrinja o acesso de rede ao toolbox a clientes confiáveis e use credenciais de menor privilégio nas fontes de dados.
Avalie colocar um gateway autenticador à frente do toolbox, validando os tokens de forma independente.

Orientações de detecção

Revise os logs do endpoint de introspecção em busca de respostas sem a chave "active" e correlacione com invocações bem-sucedidas de ferramentas nos logs do toolbox.
Monitore logs de auditoria dos bancos de dados para consultas vindas do toolbox que não correspondam a usuários ou sessões conhecidos.
Faça inventário das implantações nas versões 1.0.0 a 1.3.0 com validação de tokens opacos habilitada.

Limitações das informações disponíveis

O registro não especifica a versão corrigida, não inclui EPSS nem avaliação SSVC e traz apenas uma referência (o pull request da correção). Também não detalha quais provedores de introspecção poderiam omitir o campo "active".

Perguntas frequentes

O que causa a CVE-2026-11717?

O código de validação de tokens opacos só rejeita tokens quando a resposta de introspecção define "active" explicitamente como false; se o campo estiver ausente, o token é aceito.

Quais versões são afetadas?

As versões 1.0.0 a 1.3.0 do Google MCP Toolbox for Databases constam como afetadas.

A falha está sendo explorada?

Ela não está no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Como corrigir?

Atualize para uma versão que inclua a correção do pull request 3341 e garanta que o endpoint de introspecção sempre retorne o campo "active".

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.