CVE-2026-11718: Google MCP Toolbox for Databases: bypass de autenticação na validação do emissor de tokens opacos

Visão geral

A CVE-2026-11718 é um bypass de autenticação no caminho genérico de validação de tokens opacos (validateOpaqueToken) do Google MCP Toolbox for Databases (googleapis/mcp-toolbox). Ao validar um token opaco em um endpoint de introspecção OAuth 2.0 (RFC 7662), a lógica de verificação de claims só exige o emissor esperado quando tanto o emissor configurado quanto o emissor retornado na resposta não estão vazios. Como o campo iss é opcional nas respostas de introspecção, um provedor que o omite faz com que a checagem seja pulada sem qualquer erro. A falha é classificada como CWE-287 (Autenticação Imprópria).

Impacto

O NVD atribui nota 9.1 (Crítica) em CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N; a CNA (Google) atribuiu nota 9.3 em CVSS 4.0. Segundo a descrição, o toolbox pode aceitar tokens emitidos por provedores de identidade de terceiros não autorizados ou não pretendidos. Como o MCP Toolbox intermedeia o acesso a ferramentas de banco de dados, contornar a validação do emissor pode permitir que alguém com token de outro provedor alcance ferramentas e dados protegidos, com alto impacto em confidencialidade e integridade, conforme o vetor.

Produtos e versões afetados

Google MCP Toolbox for Databases, versões ≥ 1.0.0 e ≤ 1.3.0

A exposição descrita envolve implantações que usam validação de tokens opacos via endpoint de introspecção; o registro não informa um número de versão corrigida.

Status de exploração

A CVE não consta no catálogo CISA KEV, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS.

Correção e mitigação

Aplique a correção do pull request 3360 do googleapis/mcp-toolbox ou atualize para uma versão que a inclua, conforme confirmado pelo projeto.
Revise quais servidores de autorização são aceitos pelo seu endpoint de introspecção; se ele valida tokens de vários emissores, restrinja-o ou configure-o para sempre retornar o campo iss.
Sempre que possível, prefira modos de validação que vinculem os tokens a um único emissor e audiência esperados.
Restrinja a exposição de rede do toolbox a clientes confiáveis até aplicar a correção.

Orientações de detecção

Faça inventário das implantações do MCP Toolbox e compare as versões com a faixa afetada.
Verifique se as respostas de introspecção do seu provedor OAuth incluem o claim iss; a ausência indica exposição em versões não corrigidas.
Analise logs de autenticação e de chamadas de ferramentas em busca de sessões ligadas a clientes, sujeitos ou provedores de identidade inesperados.

Limitações das informações disponíveis

O registro não indica versão corrigida, não inclui EPSS nem avaliação SSVC e não descreve quais provedores de identidade omitem o campo iss. Detalhes sobre o escopo da correção estão apenas no pull request referenciado.

Perguntas frequentes

Quais versões do MCP Toolbox for Databases são afetadas?

O registro lista as versões ≥ 1.0.0 e ≤ 1.3.0 do Google MCP Toolbox for Databases.

A CVE-2026-11718 está sendo explorada ativamente?

Ela não consta no CISA KEV, e não há exploração confirmada nas fontes consultadas.

O que provoca o bypass?

Uma resposta de introspecção OAuth 2.0 sem o campo opcional iss faz a verificação do emissor ser ignorada, permitindo aceitar tokens de provedores de identidade não pretendidos.

Como corrigir?

Aplique a correção do pull request 3360 do googleapis/mcp-toolbox ou atualize para uma versão que a inclua, e garanta que o endpoint de introspecção retorne o campo iss ou confie apenas no emissor pretendido.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.