CVE-2026-17433 nanocoai NanoClaw MCP Serverの認証バイパス脆弱性とAI Security対策手順

結論

• 危険度: Medium (CVSS 5.3)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-26 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-17433はnanocoaiのNanoClaw（〜2.0.64）に存在する脆弱性です。攻撃者はローカル環境から権限が不十分な状態で操作を行い、認証を回避できます。これはLLMゲートウェイやMCPサーバを運用する現場にとって最優先で確認すべき問題です。

やさしく説明すると

例えるなら、家の玄関の鍵はかかっているのに、窓の鍵がかかっていない状態です。攻撃者は窓からこっそり入り込み、家の中の重要な部屋にアクセスしてしまいます。NanoClawのMCP Server Approvalという機能で、本来なら認証が必要な操作を認証なしで行えてしまうことです。LLM GatewayやAgent環境では見逃せません。

技術的な原因

この脆弱性は、CWE-266（権限不十分なチェック）およびCWE-285（不適切な権限付与）が起点です。具体的には、createChatSdkBridge.setup関数の認可ロジックが不完全で、ユーザー権限の検証が不足しています。攻撃者はローカルアクセス権を持つ状態であれば、不正にAPIを操作可能です。ここで「ローカルアクセス」とは、マシン内あるいは信頼済みネットワーク内の操作を指します。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）が不正取得されるリスク
• LLMのコンテキスト情報（顧客データ等）の窃取
• プロンプトインジェクション経由でAgentを乗っ取られる可能性
• モデルやRAG（Retrieval-Augmented Generation）データの改ざん
• 請求コストの爆増を招く不正利用
• テナント間での情報漏洩
• インフラ全体に影響が広がる横展開リスク
• AIコーディングツール（Cursor、Cline、Copilot等）経由の不正操作
• `.env`や認証情報の漏洩による二次被害

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは5.3（Medium）。攻撃はローカル環境から可能で、必要権限は低いがネットワーク越しには侵害できないため深刻度は中程度です。
• EPSSスコア情報は提供されていません。
• ランサムウェアによる悪用報告は不明（Unknown）。
• 公開されたPoC（攻撃コード）はありません。
• 攻撃者は「ローカル環境へのアクセス」と「低権限ユーザー権限」で不正操作できます。ユーザー操作は不要です。
• デフォルト設定で直ちに影響を受けるという情報はありませんが、MCP Server Approvalの該当関数は認証を回避される可能性があります。

誰が動くべきか

• LLM Gateway運用チーム（LiteLLMやOpenRouterを含む）
• Agentフレームワーク開発者（LangChain、AutoGenなど）
• MCP ServerやLLM Proxyを稼働させるインフラチーム
• バイブコーダー開発者（Cursor、Cline、Aider、GitHub Copilot、Claude Code利用者）
• AI駆動開発を行うSRE/SecOpsチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python（pip）

pip show nanoclaw

出力例:

Name: nanoclaw
Version: 2.0.64
Summary: ...
...

判定: バージョンが 2.0.64 以下なら脆弱です。2.0.65 以降であれば安全と判断できます。

Python（pip list）

pip list | grep nanoclaw

出力例:

nanoclaw  2.0.64

判定: 上記と同様にバージョンで判定してください。

設定確認

この脆弱性は設定依存ではありません。nanoclawのバージョンが対象範囲であれば脆弱です。

Nucleiテンプレートでの検出

今回のCVEに対応した公開Nucleiテンプレートは存在しません。検出はバージョン確認により行ってください。

STEP 4: 修正を適用する

パッチ適用

Python（pip）でのアップグレード例

pip install --upgrade nanoclaw

判定: バージョンが 2.0.65 以降になることを確認してください。

注意: パッチ適用前に必ずバックアップを取得し、ステージング環境で動作検証を行ってください。不具合やダウンタイム計画はチームで共有しましょう。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。影響を受ける環境でのローカルアクセス権限を持つユーザーの管理を強化し、不要なローカルログインや権限昇格経路を塞ぐ運用面の対策を推奨します。

STEP 5: 修正されたことを確認する

STEP 3で紹介したバージョン確認コマンドを、再度実行してください。

期待される出力

Python（pip show nanoclaw）

pip show nanoclaw

出力例:

Name: nanoclaw
Version: 2.0.65
Summary: ...
...

判定: バージョンが 2.0.65 以上ならOKです。

追加で確認すべきこと

• パッチ後に不審なログアクセスがないか監視してください。
• 公開Nucleiテンプレートがないため利用不可ですが、今後リリースされた場合は検出を再実施してください。

補足: 悪用観測状況

現在、CISA KEVには本CVEは登録されていません。ランサムウェア悪用の報告もありません。GitHub上の公開PoCも確認されていません。プロジェクト側も問題を認識していますが、まだ公式の返答・パッチ公開は確認されていません。

補足: CVSSメトリクス詳細

• AV（攻撃元）: LOCAL（ローカル。ネットワーク越しではなく、マシン内部や信頼環境からの攻撃）
• AC（攻撃複雑度）: LOW（攻撃はシンプルで実行しやすい）
• PR（必要権限）: LOW（低権限ユーザー権限で攻撃可能）
• UI（ユーザ操作）: NONE（攻撃にユーザー操作は不要）
• S（スコープ）: UNCHANGED（攻撃の影響範囲は機能の権限内に留まる）
• C（機密性影響）: LOW（情報漏洩の可能性あり）
• I（完全性影響）: LOW（データ改ざんの可能性あり）
• A（可用性影響）: LOW（システム停止等への影響は小さい）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. 影響を受けるバージョン（〜2.0.64）を確認し、ベンダーが提供する修正版にアップグレードしてください。具体的にはSTEP 3〜5の手順を順に実施することが最低限の対応です。

Q. パッチが適用できない場合、どうすればよいですか？

A. ローカルアクセス権限の管理強化、不要なアカウントの削除、ネットワーク分離など運用面での暫定対応を行ってください。公式の暫定対応はまだありません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 攻撃の痕跡としては、不審なMCP Server Approval操作ログや予期しないAPI権限変更などを監視してください。具体的なIOCはベンダー提供情報を参照してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは「実際に悪用される確率」を示す指標です。両方を確認することで、対応優先度をより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じCWE-266（権限不十分なチェック）やCWE-285（不適切な権限付与）に分類される脆弱性は他にも存在します。類似脆弱性の整理と対策が望まれます。

参考文献

• NVD – CVE-2026-17433
• GitHub Advisory Database GHSA-6frr-4xvp-cwch
• nanocoai NanoClaw GitHubリポジトリ
• nanocoai NanoClaw Issue #2761

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧