Un fallo crítico en MCP Toolbox de Google permitía leer y sobrescribir archivos del servidor

Google Cloud ha hecho pública una vulnerabilidad crítica en MCP Toolbox for Databases, su servidor de código abierto que permite a agentes de IA, entornos de desarrollo y aplicaciones consultar bases de datos empresariales mediante el Model Context Protocol (MCP). Registrada como CVE-2026-93328 y publicada el 26 de octubre de 2026, obtiene 9,3 sobre 10 en CVSS 4.0.

Qué permite el fallo

El problema está en la fuente de Cloud Storage de la herramienta, el componente que mueve archivos entre el servidor anfitrión y los buckets de Google Cloud Storage. Según el registro CVE, la combinación de un recorrido de directorios y la falta de comprobaciones de autorización permite a un atacante remoto, sin autenticarse, enviar parámetros manipulados para leer archivos del servidor, copiarlos a un bucket externo o sobrescribir archivos locales con contenido descargado de un bucket.

El ataque funciona por red y no requiere privilegios ni interacción del usuario, lo que explica la alta puntuación. Su alcance depende, eso sí, de los permisos que ya tiene la herramienta: la cuenta de Linux con la que se ejecuta y el acceso a buckets de su cuenta de servicio de Google Cloud. LinuxSecurity aclara que el impacto descrito es leer o reemplazar archivos; llegar a ejecutar código sería un paso adicional que la divulgación no demuestra.

Versiones afectadas y correcciones

Las versiones 1.2.0 a 1.4.0 son vulnerables y el registro señala la 1.5.0 como versión corregida. Según LinuxSecurity, esa versión salió el 18 de junio con dos nuevos ajustes de listas permitidas, de modo que la CVE pública llega meses después del parche. El registro atribuye el hallazgo a un investigador identificado como He Wei.

Además de actualizar, Google recomienda configurar allowedLocalRoots para limitar las carpetas accesibles, allowedBuckets para restringir los buckets que puede usar y ejecutar el servicio con un usuario sin privilegios y roles de IAM acotados. LinuxSecurity advierte de que una lista vacía deja el acceso abierto y aconseja exigir autenticación.

Por qué importa para los agentes de IA

Los servidores MCP actúan en nombre de aplicaciones de IA con sus propias credenciales. Eso abre la puerta al llamado problema del «delegado confundido»: un usuario sin acceso a un archivo podría pedir a un agente que lo obtenga a través de la herramienta. LinuxSecurity sostiene que la autorización en MCP debería comprobar cada acción según el usuario, el archivo y el destino concretos, y no solo si se puede invocar una herramienta.

A 27 de octubre no se conocían ataques que aprovecharan el fallo, ausente además del catálogo de vulnerabilidades explotadas de la CISA.