MoLingのSSEモードに重大な脆弱性、0.5.0で修正
AIエージェント向けのMCPサーバーMoLingをSSEモードで動かしていると、悪意あるWebページ経由でローカルのツールを操作される脆弱性が公表されました。該当する環境では0.5.0に更新し、更新までは-lでの起動を止めてください。
急ぎ度: 早めに
CVSS v3は9.6で、修正版0.5.0が公開されているため、SSEモードで使っている環境は早めに更新する段階です。
関係があるか
開発者や検証担当者が、手元のパソコンでMoLingをSSEモード（-l）で動かし、同じ端末のブラウザーでWebを閲覧している環境が当てはまります。共有の検証機やリモートワーク用の端末も同じです。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| MoLing（gojue/moling） | 0.5.0より前の版。SSEモード（-l）で起動している場合 |
0.5.0 |
確かめ方
- 1MoLingを使っている端末とサーバーを洗い出し、導入している版を確認します。版の確認方法は、導入手段（ソースからのビルド、配布バイナリなど）に合わせて、リリースページや手元のビルド記録で確かめてください。
- 2起動オプションに
-lが付いているかを確認します。常駐させている場合は、サービス定義や起動スクリプトも見てください。 - 30.5.0より前の版でSSEモードを使っていれば該当します。標準入出力など別の方式で使っているだけの環境は、この脆弱性の条件には当てはまりません。
何が起きたか
MoLingは、AIエージェントにパソコンやブラウザーを操作させるMCPサーバーです。0.5.0より前の版には、認証なしでツールの呼び出しを受け付けてしまう脆弱性があります。悪用されると、利用者のパソコン上で、設定されたツールが第三者の指示で動きます。
SSEモードで起動すると、/sseと/messageの2つのHTTPエンドポイントが認証なしで公開されます。さらに依存ライブラリのmcp-goがAccess-Control-Allow-Origin: *を返すため、別のサイトのページからもこの応答を読み取れてしまいます。この応答に含まれるsessionIdがあれば、/messageにツール呼び出しを送れます。分類はCWE-306（認証の欠如）とCWE-942（過度に許可的なクロスドメイン設定）です。
2026年10月30日に公表され、0.5.0で修正されています。
攻撃の流れ
-
1
罠のページを開く
MoLingをSSEモードで動かしている利用者が、攻撃者の用意したWebページを閲覧します。
-
2
sessionIdを読む
ページ上のスクリプトが利用者のMoLingの`/sse`に接続し、応答からsessionIdを読み取ります。
-
3
ツールを呼ぶ
取得したsessionIdで、`/message`に認証なしのツール呼び出しを送ります。
-
4
端末上で実行
設定されたツールに応じて、ファイルの読み書きやコマンド実行などが行われます。
どう悪用されるか
認証は不要です。ただし、攻撃者が利用者のパソコンへ直接つなぐ必要はなく、利用者のブラウザーが仲介します。条件は、MoLingが-lのSSEモードで起動中であること、その端末の利用者が攻撃者の用意したWebページを開くことの2つです。
127.0.0.1などループバックだけで待ち受けていても防げません。リクエストは利用者自身のブラウザーから出るためです。「外部に公開していないから安全」という判断は、この脆弱性には通用しません。
被害の大きさは、MoLingに設定しているツール次第です。ローカルファイルの読み書き、コマンド実行など、そのツールで可能な操作が攻撃者に使われます。ブラウザー操作のツールを有効にしていれば、ログイン済みのセッションに触れられる可能性もあります。
今すぐやること
-
1
SSEモードの利用を洗い出す
MoLingを動かしている端末で、
-l付きで起動しているプロセスがないかを調べます。常駐設定や起動スクリプトも見てください。ps aux | grep -i moling -
2
0.5.0に更新する
該当する端末のMoLingを修正版の0.5.0に更新し、再起動します。更新後は導入している版が0.5.0になっていることを確認してください。ベンダーのリリースノートとセキュリティアドバイザリも読んでおくと、変更点を把握できます。
-
3
更新前の稼働期間を振り返る
0.5.0より前の版をSSEモードで動かしていた期間があれば、その間にMoLingのツールが意図しない操作を実行していないかを調べます。MoLingのログ、ツールが触れるフォルダーのファイル変更、不審なプロセスの起動が手がかりです。
すぐ更新できないとき
すぐに更新できないときは、-lでのSSEモード起動をやめ、MoLingを停止しておくのが確実です。どうしても動かす場合は、有効なツールをファイル操作やコマンド実行を含まない最小限に絞り、動かしている間は信頼できないサイトを開かないでください。なお、ループバックだけに待ち受けを絞る設定では防げません。別のモードで使えるかは、ベンダーの告知で確認してください。
背景
MCP（Model Context Protocol）のサーバーは、AIエージェントが社内外のツールを呼び出すための窓口です。MoLingはその中でも、パソコン操作やブラウザー操作を担うもので、ファイルの読み書きやコマンド実行といった強い権限のツールを持たせやすい種類です。窓口が誰からでも叩ける状態だと、AIエージェントではなく第三者が、その権限を使えてしまいます。
今回は、手元のパソコンだけで待ち受けていても安全とは言えない点が特徴です。ローカルで動くサービスでも、ブラウザーが仲介すれば、Webページ上のスクリプトから読み書きされることがあります。認証を付けず、さらに任意のサイトからの読み取りを許す設定が重なったことで、その経路が開きました。0.5.0ではこの2点への対処が入っています。
よくある質問
Q.SSEモードを使っていなければ、更新しなくてもよいですか。
-lを付けて試すことも考えられます。更新の手間が小さければ、使っていない環境も0.5.0に上げておくと確認の手間が減ります。Q.社内のほかの端末から、MoLingを動かしている端末を狙われますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
MoLing is a computer-use and browser-use based MCP server. Prior to 0.5.0, when MoLing runs in SSE mode using -l, its /sse and /message HTTP endpoints do not authenticate requests and the mcp-go dependency sets Access-Control-Allow-Origin: *. A malicious web page can open a cross-origin EventSource to /sse, including a loopback listener, and read the endpoint event to obtain sessionId. After a victim running SSE mode visits that page, the attacker can use the disclosed sessionId against /message to send unauthorized MCP tool calls. Depending on the configured tools, those calls can read or write local files, execute commands or perform other actions. Binding only to loopback does not prevent this browser-mediated attack. This issue is fixed in version 0.5.0.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- patch github.com
- web github.com