Une faille critique de MCP Toolbox, chez Google, permettait de lire et d'écraser des fichiers du serveur

Google Cloud a rendu publique une vulnérabilité critique dans MCP Toolbox for Databases, son serveur open source qui permet aux agents d'IA, aux environnements de développement et aux applications d'interroger des bases de données d'entreprise via le Model Context Protocol (MCP). Référencée CVE-2026-93328 et publiée le 26 octobre 2026, elle obtient un score de 9,3 sur 10 selon CVSS 4.0.

Ce que permet la faille

Le défaut se trouve dans la source Cloud Storage de l'outil, le composant qui transfère des fichiers entre le serveur hôte et des compartiments Google Cloud Storage. D'après la fiche CVE, un mélange de traversée de répertoires et d'absence de contrôle d'autorisation permet à un attaquant distant, sans authentification, d'envoyer des paramètres d'outil forgés pour lire des fichiers de l'hôte, les copier vers un compartiment externe ou écraser des fichiers locaux avec un contenu venu d'un compartiment.

L'attaque passe par le réseau, sans privilège ni interaction de l'utilisateur, d'où la note élevée. Sa portée dépend toutefois des droits dont l'outil dispose déjà : le compte Linux sous lequel il tourne et les accès aux compartiments de son compte de service Google Cloud. LinuxSecurity précise que l'impact décrit se limite à la lecture ou au remplacement de fichiers ; passer à l'exécution de code serait une étape supplémentaire que la divulgation ne démontre pas.

Versions touchées et correctifs

Les versions 1.2.0 à 1.4.0 sont vulnérables, et la fiche indique la 1.5.0 comme version corrigée. Selon LinuxSecurity, celle-ci est sortie le 18 juin avec deux nouveaux paramètres de liste blanche : la CVE publique arrive donc plusieurs mois après le correctif. La fiche attribue le signalement à un chercheur identifié comme He Wei.

Outre la mise à jour, Google recommande de renseigner allowedLocalRoots pour limiter les dossiers accessibles, allowedBuckets pour restreindre les compartiments utilisables, et de faire tourner le service sous un utilisateur sans privilèges avec des rôles IAM réduits. LinuxSecurity rappelle qu'une liste vide laisse l'accès ouvert et conseille d'exiger une authentification et d'activer les journaux d'audit de Cloud Storage.

Un enjeu pour les agents d'IA

Les serveurs MCP agissent pour le compte d'applications d'IA avec leurs propres identifiants. Cela crée un risque d'« adjoint confus » : un utilisateur privé d'accès à un fichier pourrait demander à un agent de le récupérer via l'outil. LinuxSecurity estime que l'autorisation MCP devrait vérifier chaque action selon l'utilisateur, le fichier et la destination concernés, et pas seulement le droit d'appeler un outil.

Au 27 octobre, aucune attaque exploitant la faille n'avait été signalée, et elle n'apparaissait pas dans le catalogue des vulnérabilités exploitées de la CISA. L'analyse du NVD restait en attente.