ChatCLI・mcp-go の MCP OAuth 連携 CVE-2026-123271・123272: 悪意ある MCP サーバーが宣言した「リソース」をそのまま使い、別のリソース向けのトークンを取得・再利用される恐れ（VulnCheck 評価 CVSS v3.1 8.0）

AI アシスタントのコマンドラインツール ChatCLI と、MCP（Model Context Protocol）の Go 実装 mcp-go に、同じ種類の欠陥が 2 件（CVE-2026-123271・CVE-2026-123272）報告されました。接続先の MCP サーバーが自己申告する「保護対象リソースの情報」を検証せずに OAuth ログインへ使うため、悪意ある MCP サーバーが、同じ認可サーバーを使う別のリソース向けのトークンをユーザーに取らせ、それを別のリソースへ使い回せる恐れがあります。NVD への登録は 2026-11-05、状態は Received（CVE-2026-123272 は Deferred）で、登録元は VulnCheck です。

何が起きるか

• OAuth の仕組み（RFC 8707）では、トークンを「どのリソース向けか」を示す値（リソース指示子）とともに要求します。ChatCLI と mcp-go は、この値に MCP サーバーが公開するメタデータの内容をそのまま使い、設定した接続先 URL と一致するか確かめていませんでした（CWE-346、送信元の検証不備）。
• 悪意ある MCP サーバーは、同じ認可サーバー上の別のリソース（別の MCP サーバーなど）を自分のリソースとして宣言できます。ユーザーが OAuth ログインを進めると、認可サーバーはその別リソース向けのトークンを発行し、攻撃者はそれを受け取って、本来の相手に提示（リプレイ）できます。
• 前提として、ユーザーが悪意ある MCP サーバーへ接続し、ログインの操作を行う必要があります（UI:R）。さらに、攻撃対象のリソースが同じ認可サーバーを共有している必要があります。ログインなしで直接攻撃できるものではありません。

影響を受ける版

製品	CVE	影響する版	修正版
ChatCLI	CVE-2026-123271	v1.215.2 より前	v1.215.2（2026-10-11 公開）
mark3labs/mcp-go	CVE-2026-123272	v1.2.1 より前	v1.2.1（2026-10-09 公開）

評価

評価元	版	点数	ベクター
VulnCheck（両 CVE 共通）	CVSS v3.1	8.0	AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
VulnCheck（両 CVE 共通）	CVSS v4.0	5.1（Medium）	AV:N/AC:L/AT:P/PR:N/UI:A、後続システムの機密性・完全性が高

• 認証不要ですが、攻撃の複雑さが高く、ユーザーの操作も要るため、基準に沿い severity は high を案とします（確定はオーナーの判断待ち）。v3.1 と v4.0 で点数が大きく異なる点にも注意が必要です。
• CVE-2026-123272 については、CISA の SSVC 判定で、悪用は確認されていない（exploitation: none）、自動化は不可（automatable: no）、技術的な影響は全面的（total）とされています。CISA の KEV にはどちらも載っていません。FIRST の EPSS は取得時点（2026-11-06）でどちらもまだ値がありません。

対策として考えられること

1. ChatCLI は v1.215.2 以降、mcp-go を組み込んだアプリは mcp-go v1.2.1 以降へ更新します。mcp-go は Go のライブラリなので、利用アプリ側で依存を更新して再ビルドする必要があります。
2. 更新できない間は、信頼できない MCP サーバーへ OAuth 付きで接続しないようにします。
3. 同じ認可サーバーを複数の MCP サーバーで共有している環境では、トークンの対象リソースを認可サーバー側でも限定できるか確認します。

未確認の点

• 実際の悪用の有無と、概念実証の公開状況。
• ChatCLI と mcp-go を組み込んだ他のソフトウェアの範囲と利用規模。
• 各 CVE が影響する最も古い版（登録情報では「修正版より前」とのみ記載）。
• NVD の最終評価（現状は評価前）。