Anthropic公式Git MCPサーバーには複数のセキュリティ脆弱性が存在し、ファイルの読み書きや潜在的なリモートコード実行が可能となる

Anthropicがメンテナンスする公式のmcp-server-gitにおいて、3つのセキュリティ脆弱性が発見されました。これらの脆弱性はプロンプトインジェクション攻撃によって悪用可能であり、攻撃者は被害者のシステムに直接アクセスすることなく、悪意のあるREADMEファイルや改ざんされたウェブページを通じて脆弱性をトリガーできます。これらの脆弱性は以下の通り：CVE-2025-68143（git_init の制限不足）、CVE-2025-68145（パス検証のバイパス）、CVE-2025-68144（git_diff におけるパラメータ注入）。これらの脆弱性をファイルシステムMCPサーバーと組み合わせることで、攻撃者は任意のコードを実行したり、システムファイルを削除したり、任意のファイル内容を大規模言語モデルのコンテキストに読み込むことが可能になります。Cyataは、mcp-server-gitがrepo_pathパラメータのパス検証を行っていないため、攻撃者がシステムの任意のディレクトリにGitリポジトリを作成できると指摘しています。さらに、.git/config 内のクリーンアップフィルターを悪用することで、攻撃者は実行権限なしでシェルコマンドを実行可能。Anthropic は2025年12月17日にCVE番号を割り当て、修正パッチを公開済み。ユーザーは mcp-server-git を2025.12.18以降に更新することを推奨。（cyata）