Peringatan Keamanan

Publikasi KUTIM-CSIRT

Peringatan Keamanan

Peringatan Keamanan: Authentication Bypass pada Google MCP Toolbox for Databases

Adam  ·  27 Agt 2026  ·  KUTIM-SA-2026-040  ·  TLP:CLEAR

Peringatan Keamanan: Authentication Bypass pada Google MCP Toolbox for Databases
Sumber: Artikel ini diterbitkan ulang oleh KUTIM-CSIRT berdasarkan Security Advisory (Imbauan Keamanan) yang diedarkan Direktorat Operasi Keamanan Siber BSSN kepada Ketua TTIS Organisasi dan TTIS Sektor pada 26 Agustus 2026. Nomor CVE, skor, dan versi terdampak bersumber dari edaran tersebut beserta lampiran resminya, dan telah kami verifikasi ulang ke NVD serta repositori resmi proyek. Dokumen asli: Security Advisory CVE-2026-14541 Kerentanan pada Perangkat Google MCP Toolbox – BSSN/Id-SIRTII.

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang menjalankan MCP Toolbox for Databases dari Google untuk memeriksa konfigurasi autentikasinya dan menindaklanjuti CVE-2026-14541, kerentanan authentication bypass berskor CVSS 8,0 (High).

Ikhtisar

MCP Toolbox for Databases adalah server sumber terbuka yang menghubungkan agen AI dengan basis data melalui Model Context Protocol (MCP). CVE-2026-14541 (CWE-287, Improper Authentication) terdapat pada komponen penyedia autentikasi Google OAuth, dengan vektor CVSS 4.0 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:U.

Kerentanan muncul ketika authService Google dikonfigurasi dengan mcpEnabled: true tetapi tanpa nilai audience atau clientId yang ditetapkan secara eksplisit. Pada kondisi itu, alur ValidateMCPAuth untuk opaque access token tidak memeriksa audience token sama sekali (audience confusion). Akibatnya server menerima token Google OAuth yang sah meskipun token itu diterbitkan untuk aplikasi lain.

Penegasan skor dan versi: edaran BSSN mencantumkan skor 7,5 (High) dan daftar produk “versi < 1.4.0”, sedangkan NVD mencatat skor 8,0 (High) dan menyebut versi 1.4.0 sebagai versi terdampak. Butir mitigasi edaran sendiri menganjurkan pembaruan dari 1.4.0 ke 1.5.0, yang sejalan dengan NVD. Artikel ini mengikuti NVD. Advisory yang tersedia tidak menyatakan apakah versi di bawah 1.4.0 juga terdampak; bila instansi memakai versi lain, perbarui saja ke 1.5.0 atau lebih baru. Kerentanan hanya berlaku pada konfigurasi tertentu (lihat Detail Teknis).

Dampak

  • Siapa pun yang memiliki token Google OAuth yang sah, bahkan token yang diterbitkan untuk aplikasi lain, dapat diterima sebagai pengguna terautentikasi oleh server MCP.
  • Setelah diterima, penyerang dapat memakai alat (tools) yang dikonfigurasi pada server, yang terhubung ke basis data sehingga data dapat dibaca dan diubah (VC:H/VI:H).
  • Serangan dilakukan dari jaringan tanpa akun pada server dan tanpa interaksi pengguna.

Sistem yang Terdampak

ProdukVersi TerdampakVersi Perbaikan
Google MCP Toolbox for Databases (googleapis/mcp-toolbox), dengan Google authService berkonfigurasi mcpEnabled: true tanpa audience/clientIdVersi 1.4.0 (versi yang tercantum pada NVD)1.5.0 atau lebih baru

Detail Teknis

Dengan mcpEnabled: true, server menerima token Google sebagai bukti identitas untuk akses MCP. Server seharusnya memastikan token itu ditujukan untuk server MCP sendiri, yaitu dengan mencocokkan audience atau clientId. Bila konfigurasi tidak menetapkan nilai itu, pemeriksaan audience dilewati sehingga validitas token saja yang diperiksa, bukan peruntukannya. Perbaikan di versi 1.5.0 mewajibkan audience atau clientId ditetapkan bila mcpEnabled aktif. Rincian teknis yang lebih dalam tidak kami muat karena dapat langsung dimanfaatkan.

Rekomendasi

  1. Periksa apakah MCP Toolbox for Databases dipakai dan konfigurasi authService Google-nya, terutama yang memakai mcpEnabled: true.
  2. Perbarui MCP Toolbox dari 1.4.0 ke 1.5.0 atau yang lebih baru.
  3. Tetapkan nilai audience atau clientId secara eksplisit pada konfigurasi Google authService.
  4. Pastikan nilai audience sesuai dengan identitas OAuth client milik server MCP Anda.
  5. Jangan menjalankan konfigurasi mcpEnabled: true tanpa validasi audience.
  6. Batasi akses jaringan ke server MCP hanya dari klien yang tepercaya, dan berikan akun basis data yang dipakai server hak akses seminimal mungkin.
  7. Tinjau log akses server dan basis data untuk permintaan dari identitas yang tidak dikenal.
  8. Laporkan indikasi penyalahgunaan ke KUTIM-CSIRT melalui kanal pelaporan resmi.

Catatan Status Eksploitasi

CVE-2026-14541 belum tercatat di katalog KEV CISA pada saat artikel ini diterbitkan. Meski demikian, server yang menghubungkan agen AI ke basis data bernilai tinggi bagi penyerang, sehingga konfigurasi dan pembaruan sebaiknya segera diperiksa.

Referensi

Kembali ke Artikel