ai-tools/private-proxy-mcp

Watch

Fork 0

Netzwerk-Policy und SSRF-Schutz für Webrequests umsetzen #10

New issue

Closed

opened 2026-07-17 09:05:50 +02:00 by frank · 1 comment

frank commented

2026-07-17 09:05:50 +02:00

Owner

Teil von #1. Blockiert durch die HTTP-Ausführungsengine.

Ziel

Die Proxy-Funktion ist standardmäßig auf bewusst erlaubte Ziele begrenzt und kann nicht unbemerkt als Zugriffspfad auf lokale Infrastruktur oder Metadaten-Dienste missbraucht werden.

Scope

Konfigurierbare Policy mit Default-Deny für:
- Loopback
- Link-local
- private IPv4-/IPv6-Netze
- Multicast, Unspecified und weitere nicht globale Ziele
- Cloud-Metadatenziele
Hostname vor Connect auflösen und jede resultierende IP prüfen.
DNS-Rebinding vermeiden: geprüfte IP beim Dial verwenden und Host/SNI korrekt erhalten.
Redirect-Ziele bei jedem Hop vollständig neu prüfen.
Allow-/Deny-Regeln für Schemes, Hosts, Suffixe, Ports und CIDRs.
Standardmäßig nur http und https; userinfo in URLs ablehnen.
Sensible und Hop-by-hop Header sperren oder explizit erlauben, insbesondere Proxy-Authorization und Connection.
Private Ziele nur über eine bewusst gesetzte Opt-in-Allowlist freischalten; diese Entscheidung im Wiki dokumentieren.
Fehler nennen die verletzte Policy, aber keine unnötigen internen Netzdetails.
Request- und Responsegrößen, Methoden, Redirects und Parallelität als zusätzliche Missbrauchsgrenzen.

Akzeptanzkriterien

Tests decken IPv4, IPv6, alternative IP-Schreibweisen, CNAME/Mehrfachauflösung, Redirects und DNS-Rebinding-Simulation ab.
127.0.0.1, ::1, RFC1918, link-local und bekannte Metadata-Ziele sind standardmäßig blockiert.
Explizit erlaubte interne Ziele funktionieren.
Policy wird vor jedem tatsächlichen Dial durchgesetzt.
Kein TOCTOU-Pfad zwischen DNS-Prüfung und Verbindung bleibt offen.
Sicherheitsmodell und Restrisiken sind im Wiki dokumentiert.

Referenzen

MCP Security Best Practices und SSRF: https://modelcontextprotocol.io/docs/tutorials/security/security_best_practices
Go net/netip: https://pkg.go.dev/net/netip
Go net.Dialer: https://pkg.go.dev/net#Dialer

Teil von #1. Blockiert durch die HTTP-Ausführungsengine. ## Ziel Die Proxy-Funktion ist standardmäßig auf bewusst erlaubte Ziele begrenzt und kann nicht unbemerkt als Zugriffspfad auf lokale Infrastruktur oder Metadaten-Dienste missbraucht werden. ## Scope - Konfigurierbare Policy mit Default-Deny für: - Loopback - Link-local - private IPv4-/IPv6-Netze - Multicast, Unspecified und weitere nicht globale Ziele - Cloud-Metadatenziele - Hostname vor Connect auflösen und jede resultierende IP prüfen. - DNS-Rebinding vermeiden: geprüfte IP beim Dial verwenden und Host/SNI korrekt erhalten. - Redirect-Ziele bei jedem Hop vollständig neu prüfen. - Allow-/Deny-Regeln für Schemes, Hosts, Suffixe, Ports und CIDRs. - Standardmäßig nur http und https; userinfo in URLs ablehnen. - Sensible und Hop-by-hop Header sperren oder explizit erlauben, insbesondere Proxy-Authorization und Connection. - Private Ziele nur über eine bewusst gesetzte Opt-in-Allowlist freischalten; diese Entscheidung im Wiki dokumentieren. - Fehler nennen die verletzte Policy, aber keine unnötigen internen Netzdetails. - Request- und Responsegrößen, Methoden, Redirects und Parallelität als zusätzliche Missbrauchsgrenzen. ## Akzeptanzkriterien - Tests decken IPv4, IPv6, alternative IP-Schreibweisen, CNAME/Mehrfachauflösung, Redirects und DNS-Rebinding-Simulation ab. - 127.0.0.1, ::1, RFC1918, link-local und bekannte Metadata-Ziele sind standardmäßig blockiert. - Explizit erlaubte interne Ziele funktionieren. - Policy wird vor jedem tatsächlichen Dial durchgesetzt. - Kein TOCTOU-Pfad zwischen DNS-Prüfung und Verbindung bleibt offen. - Sicherheitsmodell und Restrisiken sind im Wiki dokumentiert. ## Referenzen - MCP Security Best Practices und SSRF: https://modelcontextprotocol.io/docs/tutorials/security/security_best_practices - Go net/netip: https://pkg.go.dev/net/netip - Go net.Dialer: https://pkg.go.dev/net#Dialer

frank added this to the v0.3.0 – MCP MVP milestone

2026-07-17 09:27:19 +02:00

frank added the

labels

2026-07-17 09:27:50 +02:00

frank added a new dependency

2026-07-17 09:30:39 +02:00

#1 MVP: Private Proxy MCP – Basisfunktionen und Lieferumfang

frank added a new dependency

2026-07-17 09:30:41 +02:00

#9 MCP-Tools http_get und http_request bereitstellen

frank added a new dependency

2026-07-17 09:30:41 +02:00

#8 Begrenzte HTTP-Ausführungsengine im privaten Proxy implementieren

frank added a new dependency

2026-07-17 09:30:42 +02:00

#13 Teststrategie und Forgejo-Actions-CI aufsetzen

frank added a new dependency

2026-07-17 09:30:43 +02:00

#14 Architektur, Konfiguration und Betrieb im Projekt-Wiki dokumentieren

codex was assigned by frank

2026-07-17 10:41:56 +02:00

frank added a new dependency

2026-07-17 11:57:48 +02:00

#20 Request-Identitätsprofile pro Proxy-Aufruf auswählbar machen

frank added a new dependency

2026-07-17 11:57:49 +02:00

#21 Browser Use über den privaten Reverse Proxy anbieten

frank added a new dependency

2026-07-17 11:57:50 +02:00

#22 yt-dlp-Medien- und YouTube-Transcript-Tools über den privaten Proxy bereitstellen

frank commented

2026-07-17 13:05:27 +02:00

Author

Owner

🤖 forge agent started

Agent: codex
Model: gpt-5.6-sol
Mode: pr
Trigger: assignee=agent|+5 mapped

Netzwerk-Policy und SSRF-Schutz für Webrequests umsetzen — Teil von #1. Blockiert durch die HTTP-Ausführungsengine.

🤖 **forge agent started** - Agent: `codex` - Model: `gpt-5.6-sol` - Mode: `pr` - Trigger: `assignee=agent|+5 mapped` Netzwerk-Policy und SSRF-Schutz für Webrequests umsetzen — Teil von #1. Blockiert durch die HTTP-Ausführungsengine.

frank added the

agent:working

label

2026-07-17 13:05:27 +02:00

~~frank referenced this issue 2026-07-17 13:05:29 +02:00~~

fix: #10 Netzwerk-Policy und SSRF-Schutz für Webrequests umsetzen #26

frank referenced this issue

2026-07-17 13:05:29 +02:00

fix: #10 Netzwerk-Policy und SSRF-Schutz für Webrequests umsetzen #26

frank referenced this issue from a pull request that will close it,

2026-07-17 13:23:05 +02:00

fix: #10 Netzwerk-Policy und SSRF-Schutz für Webrequests umsetzen #26