mcp-remoteのRCE

MCPは「Model Context Protocol」の略で、大規模言語モデル(LLM)が外部のツールやデータと連携するためのプロトコルです。
従来のLLMは、外部のデータやツールにアクセスする際に、それぞれのサービスごとに個別の接続方法を開発する必要がありましたが、MCPは、LLMと外部ツール間の接続を標準化することで、これらの課題を解決します。
そしてRemote MCPは、MCPサーバがローカル環境ではなく、クラウドやリモートサーバ上で実行されているMCPサーバと接続する際の総称です。
mcp-remoteは、それを実現する実装の一つです。
GitHubで公開されていて、誰でも利用することができます。
このmcp-remoteに脆弱性が確認されました。

• CVE-2025-6514
  CVSSスコアは9.6です。
  この脆弱性により、攻撃者は信頼できないMCPサーバへの接続を開始する際に、mcp-remoteを実行しているマシン上で任意のOSコマンド実行をトリガーすることができ、ユーザにとって重大なリスク、つまりシステム全体の侵害をもたらす可能性があります。
  この脆弱性は、mcp-remoteバージョン0.0.5から0.1.15までに影響します。
  2025年6月17日にリリースされたバージョン0.1.16で修正されました。
  影響を受けるバージョンを使用して信頼できない、または安全でないMCPサーバに接続するmcp-remoteを使用しているユーザは、危険にさらされます。
  なお、ここでいう安全でないMCPサーバとは、HTTPSで動作しているのではなくHTTPで動作しているMCPサーバのことを意味します。

mcp-remoteを利用している環境では、対策されたバージョンを利用しましょう。
そして類似の問題が発生した際にも有効かもしれませんので、HTTPS動作しているMCPサーバを利用するようにしておきましょう。

先日、「MCP InspectorのRCE」という話もありましたね。
生成AIに通常の利用者の注目が集まるのと同じように、脅威アクターも集まってきているということかもしれません。

Critical RCE Vulnerability in mcp-remote: CVE-2025-6514 Threatens LLM Clients
https://jfrog.com/blog/2025-6514-critical-mcp-remote-rce-vulnerability/