CVE-2026-52616 — mcp-nmap-server: run_nmap_scan による OS コマンドインジェクション

run_nmap_scan MCP ツールは、target と additionalFlags パラメータを文字列補間してコマンドを組み立て、それを child_process.exec、すなわち /bin/sh -c 経由で実行します。

⚠ 最初にお読みください — 重複識別子

この脆弱性は、この CVE ID が存在する以前にすでに公開されていました。 これは CVE-2026-3484 / GHSA-xc68-rrqc-qgq3 によってカバーされており、VulDB によって割り当てられ、2026-03-03 に mcp-nmap-server <= 1.0.1 に対して公開されました。— 同じパッケージ、同じ CWE-78 child_process.exec シンクです。

CVE-2026-52616 は、独立した報告を受けて、2026-07-13 に MITRE CNA-LR によって s1ko に割り当てられました。この割り当ては 重複 であると思われ、そのようにフラグが付けられています。引用すべきは、既存の識別子 CVE-2026-3484 です。

このリポジトリは、完全性のためと重複を記録するために公開されており、新規発見を主張するものでは ありません。最初の公開開示の功績は s1ko のものではありません。

この重複を解決しようとする人にとって注意に値する命名の罠: npm パッケージは mcp-nmap-server で、リポジトリは nmap-mcp-server です。この 2 つの順序は同じプロジェクトを指しています。

脅威モデル

MCP ツールの引数は攻撃者の影響を受けます。これらは、エージェントが処理するコンテンツ (ドキュメント、Web ページ、ツール出力) から LLM によって生成されるため、間接的なプロンプトインジェクションにより、攻撃者はツールハンドラーが受け取る値を制御できます。それらの値のいずれかをシェルに渡すハンドラーは、その影響を MCP サーバーが動作するホスト上でのコード実行に変えます。これは、先行事例である aws-mcp-server / CVE-2026-5058 と同じモデルです。

実行

dist/index.js — ターゲットはコマンド文字列に追加され、その後 exec に渡されます。

command += ` ${target}`;
…
const { stdout, stderr } = await promisify(exec)(command);

child_process.exec はその引数を /bin/sh -c で実行するため、呼び出し側が追加したものはすべてシェル構文になります。Zod 入力スキーマは z.string() を宣言していますが、これは型を検証するだけで、内容については何も保証しないため、メタキャラクターはそのまま通過します。additionalFlags も同じ経路で同じ文字列に到達します。

target を 127.0.0.1; touch /tmp/marker; echo INJECTED に設定した run_nmap_scan 呼び出しは、次を生成します:

/bin/sh -c "nmap … 127.0.0.1; touch /tmp/marker; echo INJECTED"

再現

poc/driver.mjs は stdio 経由で MCP を話します: サーバーを初期化し、注入された target を持つ run_nmap_scan に対して 1 回の tools/call を発行し、マーカーファイルを確認します。ペイロードは無害な touch です。

npm pack [email protected]
tar xf mcp-nmap-server-1.0.1.tgz && cd package && npm install
node ../poc/driver.mjs

影響を受けるバージョンでの期待される出力:

==== POC RESULT (mcp-nmap-server) ====
marker /tmp/PWNED_nmap created: true
verdict: CONFIRMED — command injection executed

nmap がインストールされている必要はありません — 注入されたコマンドは、先頭のバイナリが解決されるかどうかに関係なく、同じ /bin/sh -c 文字列内で実行されます。2026-06-01 に隔離されたコンテナで検証し、2026-06-13 に再検証しました。テストを許可されたインフラストラクチャに対してのみ実行してください。

検出

• ;、&&、||、|、バッククォート、または $( を含む nmap コマンドライン。
• コマンドラインが nmap で始まり、セパレータの後に 2 番目のコマンドを含む sh -c プロセス — アプリケーションログに依存しないプロセスツリーシグナル (auditd、eBPF、Falco、EDR)。
• MCP サーバープロセスの予期しない子プロセス。nmap は想定内ですが、シェル、インタープリタ、ネットワーククライアントは想定外です。
• target または additionalFlags にシェルメタキャラクターが含まれている MCP ツールコールログ。target は IP、CIDR、またはホスト名に一致し、それ以外には一致しない必要があります。

MITRE ATT&CK T1059.004 Command and Scripting Interpreter: Unix Shell。

緩和策

リポジトリは アーカイブ済み で読み取り専用であり、npm の latest は影響を受ける 1.0.1 のままで、修正版は公開されません。緩和策は削除です:

• パッケージの使用を中止してください。 これはメンテナンスされておらず、2026年3月から公に脆弱な状態であり、修正される予定はありません。
• どうしても残す必要がある場合は、非特権ユーザーとしてコンテナまたは VM 内で実行し、環境内に資格情報を置かず、スキャン範囲を超えたネットワークへの送信を許可せず、ネットワークトランスポート経由で公開しないでください。
• target を IP/CIDR/ホスト名パターンに対して検証し、additionalFlags がコマンド文字列に到達する前に許可リストで制限するように、サーバーをラップまたはフォークしてください。

フォークする人向けの修正 は、exec 用の文字列を構築するのではなく、引数ベクトルを指定して execFile("nmap", [...args]) を呼び出すことです。Zod の型検証だけでなく、コンテンツの検証が根本的な要件です。

NIST SP 800-53r5 SI-10; OWASP ASVS v4 §5.3.8; CWE-78 の緩和策 M1 および M2。

タイムライン

参考文献

• 元のアドバイザリ — https://github.com/advisories/GHSA-xc68-rrqc-qgq3
• 元の CVE — https://nvd.nist.gov/vuln/detail/CVE-2026-3484
• npm パッケージ — https://www.npmjs.com/package/mcp-nmap-server
• リポジトリ (アーカイブ済み) — https://github.com/PhialsBasement/nmap-mcp-server
• MCP 脅威モデルの先行事例 — CVE-2026-5058 (aws-mcp-server)

同じ調査パスからの関連アドバイザリ: CVE-2026-52617, CVE-2026-52618。

ライセンス

MIT — LICENSE を参照してください。