mcp-gateway-registry v1.0.13: SSRF(CVE-918)、SQL注入修复

漏洞概述 在 版本中，修复了以下安全相关的问题： 1. SSRF 保护：对重定向验证进行了 SSRF 保护（CVE-918）。 2. SQL 注入预防：在 metrics-service 保留子系统中防止了 SQL 注入。 3. 信息暴露修复：修复了异常中的信息暴露问题。 4. 静态令牌认证：为 Registry API 添加了静态令牌认证。 影响范围 SSRF 保护：影响所有使用重定向功能的 API 调用。 SQL 注入预防：影响 metrics-service 保留子系统。 信息暴露修复：影响所有异常处理逻辑。 静态令牌认证：影响 Registry API 的认证机制。 修复方案 1. SSRF 保护： - 在重定向逻辑中增加了 SSRF 保护机制，确保重定向目标地址的安全性。 2. SQL 注入预防： - 在 metrics-service 保留子系统中，对所有 SQL 查询进行了参数化处理，防止 SQL 注入攻击。 3. 信息暴露修复： - 修改了异常处理逻辑，确保异常信息不会泄露敏感数据。 4. 静态令牌认证： - 为 Registry API 添加了静态令牌认证机制，增强 API 的安全性。 相关 Pull Requests SSRF 保护：PR #453 SQL 注入预防：PR #451 信息暴露修复：PR #453 静态令牌认证：PR #420 配置变更 Federation Environment Variables： Audit Logging： 升级说明 Docker Compose 部署： 1. 拉取最新更改： 2. 重新构建并重启： Kubernetes/Helm 部署： 1. 更新 chart 值以支持 Entra ID 和联邦功能（如果需要）。 2. 应用更改： 贡献者 感谢以下贡献者对此次发布的贡献： Amit Arora (@aarora79) Omri Shiv (@omrishiv) Dheeraj Oruganty (@dheerajoruganty) Bren Whyte (@brenwhyte) Andreas Feldmann (@ndrsfe) Abhishek Singh Gaurav Rele kanghengliu 资源 文档： - Federation Guide - 联邦注册表设置和操作 - Audit Logging - 合规性和审计跟踪文档 - Agent Skills - 技能注册表文档 - Server Versioning - MCP 服务器版本路由 支持 GitHub Issues GitHub Discussions Documentation 完整变更日志 v1.0.12 - v1.0.13 变更详情 更新图表以使用 v1.0.12 镜像 by @omrishiv in #388 使用 kubectl 由 @omrishiv 在 #396 功能：集中端点 URL 解析实用程序用于自定义 MCP 端点 by @ndrsfe in #382 功能：在 API 响应和 React 前端中暴露 mcp_endpoint by @aarora79 in #400 功能：从 4.17.21 到 4.17.23 的 bump lodash in frontend by @dependabot[bot] in #397 功能：为服务器和代理添加自定义元数据字段 by @aarora79 in #406 功能：MCP 服务器版本路由 by @aarora79 in #407 功能：从 3.20.1 到 3.20.3 的 bump filelock by @dependabot[bot] in #401 功能：从 0.6.1 到 0.6.2 的 bump pyasn1 by @dependabot[bot] in #402 功能：从 0.0.21 到 0.0.22 的 bump python-multipart by @dependabot[bot] in #403 功能：从 3.13.2 到 3.13.3 的 bump aiohttp by @dependabot[bot] in #404 功能：从 2.6.2 到 2.6.3 的 bump urllib3 by @dependabot[bot] in #405 功能：从 0.6.1 到 0.6.2 的 bump pyasn1 in agents/a2a by @dependabot[bot] in #377 功能：从 0.0.20 到 0.0.22 的 bump python-multipart in agents/a2a by @dependabot[bot] in #409 功能：从 3.13.2 到 3.13.3 的 bump aiohttp in agents/a2a by @dependabot[bot] in #411 功能：从 1.2.4 到 1.2.5 的 bump langchain-core by @dependabot[bot] in #410 修复：Terraform - 立即秘密删除恢复窗口，days = 0 在所有 Secrets Manager 秘密上 by @brenwhyte in #385 修复：Terraform - 添加缺失的安全组规则用于 MCPGW - 注册表通信 by @brenwhyte in #393 修复：Terraform - 模块级别 depends_on - 导致级联资源重新创建 by @brenwhyte in #394 功能：从 1.21.0 到 2.3.0 的 bump mcp in agents/a2a by @dependabot[bot] in #412 功能：支持子域和路径基础路由 by @omrishiv in #395 功能：添加 Docker 加固镜像 (DHI) 支持作为可选覆盖 by @aarora79 in #414 功能：当嵌入模型不可用时添加词法回退 by @aarora79 in #415 功能：动态生成共享 secretKey by @omrishiv in #417 功能：为 Registry API 添加静态令牌认证 by @aarora79 in #420 功能：统一部署脚本和 CodeQL 敏感日志警报 by @aarora79 in #421 修复：从 auth 服务器返回正确的 4xx 状态代码 by @aarora79 in #423 功能：清理入口注释，添加允许的入站 cidr 范围 by @omrishiv in #425 功能：添加构建/推送工作流 by @omrishiv in #432 功能：高可用性部署和自述更新 by @omrishiv in #437 功能：联邦注册表：对等对等同步支持 by @dheerajoruganty in #422 功能：从 2.5.0 到 2.6.3 的 bump urllib3 in agents/a2a by @dependabot[bot] in #435 功能：从 0.0.21 到 0.0.22 的 bump python-multipart in metrics-service by @dependabot[bot] in #433 功能：从 6.33.2 到 6.33.5 的 bump protobuf in metrics-service by @dependabot[bot] in #434 功能：添加删除功能用于服务器和代理 with 联邦保护 by @aarora79 in #439 总结 此次更新主要关注于增强系统的安全性，包括 SSRF 保护、SQL 注入预防、信息暴露修复和静态令牌认证。这些修复措施将显著提升系统的安全性和稳定性。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

mcp-gateway-registry v1.0.13: SSRF(CVE-918)、SQL注入修复

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

mcp-gateway-registry v1.0.13: SSRF(CVE-918)、SQL注入修复

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！