---
title: "ChatCLI・mcp-go の MCP OAuth 連携 CVE-2026-123271・123272: 悪意ある MCP サーバーが宣言した「リソース」をそのまま使い、別のリソース向けのトークンを取得・再利用される恐れ（VulnCheck 評価 CVSS v3.1 8.0）"
url: https://n-t-p.io/worldsecurity/articles/mcp-oauth-cve-2026-123271-123272-chatcli-mcp-go-resource-indicator-unvalidated-token-replay
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-123271, CVE-2026-123272
---

# ChatCLI・mcp-go の MCP OAuth 連携 CVE-2026-123271・123272: 悪意ある MCP サーバーが宣言した「リソース」をそのまま使い、別のリソース向けのトークンを取得・再利用される恐れ（VulnCheck 評価 CVSS v3.1 8.0）

> **TL;DR:** ChatCLI v1.215.2 より前（CVE-2026-123271）と mcp-go v1.2.1 より前（CVE-2026-123272）は、MCP サーバーが自己申告するリソース情報を検証せず OAuth ログインに使う。悪意ある MCP サーバーに接続して認証を進めると、同じ認可サーバー上の別リソース向けトークンを取られ、使い回される恐れ。VulnCheck 評価は CVSS v3.1 8.0（v4.0 は 5.1）。修正済み。悪用の有無は未確認。

**要点**
- ChatCLI v1.215.2 より前と mcp-go v1.2.1 より前で、MCP サーバーの宣言するリソース情報を接続先 URL と照合せずに OAuth のリソース指示子に使う（CWE-346）。
- 悪意ある MCP サーバーが同じ認可サーバー上の別リソースを宣言すると、ユーザーのログイン操作でその別リソース向けトークンを取得され、リプレイされる恐れ。
- VulnCheck 評価は CVSS v3.1 8.0（AC:H・UI:R・S:C）、v4.0 は 5.1。severity 案は high。
- 修正版は ChatCLI v1.215.2・mcp-go v1.2.1。mcp-go を使うアプリは依存を更新して再ビルドする。
- KEV 掲載なし、EPSS は未算出。悪用・概念実証、波及範囲、NVD 最終評価は未確認。

AI アシスタントのコマンドラインツール ChatCLI と、MCP（Model Context Protocol）の Go 実装 mcp-go に、同じ種類の欠陥が 2 件（CVE-2026-123271・CVE-2026-123272）報告されました。接続先の MCP サーバーが自己申告する「保護対象リソースの情報」を検証せずに OAuth ログインへ使うため、悪意ある MCP サーバーが、同じ認可サーバーを使う別のリソース向けのトークンをユーザーに取らせ、それを別のリソースへ使い回せる恐れがあります。NVD への登録は 2026-11-05、状態は Received（CVE-2026-123272 は Deferred）で、登録元は VulnCheck です。

## 何が起きるか
- OAuth の仕組み（RFC 8707）では、トークンを「どのリソース向けか」を示す値（リソース指示子）とともに要求します。ChatCLI と mcp-go は、この値に MCP サーバーが公開するメタデータの内容をそのまま使い、設定した接続先 URL と一致するか確かめていませんでした（CWE-346、送信元の検証不備）。
- 悪意ある MCP サーバーは、同じ認可サーバー上の別のリソース（別の MCP サーバーなど）を自分のリソースとして宣言できます。ユーザーが OAuth ログインを進めると、認可サーバーはその別リソース向けのトークンを発行し、攻撃者はそれを受け取って、本来の相手に提示（リプレイ）できます。
- 前提として、ユーザーが悪意ある MCP サーバーへ接続し、ログインの操作を行う必要があります（UI:R）。さらに、攻撃対象のリソースが同じ認可サーバーを共有している必要があります。ログインなしで直接攻撃できるものではありません。

## 影響を受ける版
| 製品 | CVE | 影響する版 | 修正版 |
|---|---|---|---|
| ChatCLI | CVE-2026-123271 | v1.215.2 より前 | v1.215.2（2026-10-11 公開） |
| mark3labs/mcp-go | CVE-2026-123272 | v1.2.1 より前 | v1.2.1（2026-10-09 公開） |

## 評価
| 評価元 | 版 | 点数 | ベクター |
|---|---|---|---|
| VulnCheck（両 CVE 共通） | CVSS v3.1 | 8.0 | AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N |
| VulnCheck（両 CVE 共通） | CVSS v4.0 | 5.1（Medium） | AV:N/AC:L/AT:P/PR:N/UI:A、後続システムの機密性・完全性が高 |

- 認証不要ですが、攻撃の複雑さが高く、ユーザーの操作も要るため、基準に沿い severity は **high** を案とします（確定はオーナーの判断待ち）。v3.1 と v4.0 で点数が大きく異なる点にも注意が必要です。
- CVE-2026-123272 については、CISA の SSVC 判定で、悪用は確認されていない（exploitation: none）、自動化は不可（automatable: no）、技術的な影響は全面的（total）とされています。CISA の KEV にはどちらも載っていません。FIRST の EPSS は取得時点（2026-11-06）でどちらもまだ値がありません。

## 対策として考えられること
1. ChatCLI は v1.215.2 以降、mcp-go を組み込んだアプリは mcp-go v1.2.1 以降へ更新します。mcp-go は Go のライブラリなので、利用アプリ側で依存を更新して再ビルドする必要があります。
2. 更新できない間は、信頼できない MCP サーバーへ OAuth 付きで接続しないようにします。
3. 同じ認可サーバーを複数の MCP サーバーで共有している環境では、トークンの対象リソースを認可サーバー側でも限定できるか確認します。

## 未確認の点
- 実際の悪用の有無と、概念実証の公開状況。
- ChatCLI と mcp-go を組み込んだ他のソフトウェアの範囲と利用規模。
- 各 CVE が影響する最も古い版（登録情報では「修正版より前」とのみ記載）。
- NVD の最終評価（現状は評価前）。


## 出典
- [NVD CVE-2026-123271](https://nvd.nist.gov/vuln/detail/CVE-2026-123271) — NIST NVD
- [NVD CVE-2026-123272](https://nvd.nist.gov/vuln/detail/CVE-2026-123272) — NIST NVD
- [VulnCheck Advisory（ChatCLI）](https://www.vulncheck.com/advisories/chatcli-before-1.215.2-origin-validation-error-via-unvalidated-mcp-oauth-resource-indicator) — VulnCheck
- [VulnCheck Advisory（mcp-go）](https://www.vulncheck.com/advisories/mcp-go-before-1.2.1-origin-validation-error-via-unvalidated-well-known-protected-resource-metadata) — VulnCheck
- [ChatCLI v1.215.2 リリース](https://github.com/diillson/chatcli/releases/tag/v1.215.2) — ChatCLI プロジェクト
- [mcp-go v1.2.1 リリース](https://github.com/mark3labs/mcp-go/releases/tag/v1.2.1) — mcp-go プロジェクト
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-123271,CVE-2026-123272) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/mcp-oauth-cve-2026-123271-123272-chatcli-mcp-go-resource-indicator-unvalidated-token-replay