fix(security): P0 安全修复——cron/hooks 门控、WS 握手超时、seed 工具审批、tunnel IP 过滤

[zayokami]

背景

并行安全审计(8 维度挖掘 + 12 条高危对抗性验证 + 人工复核)确认的 4 条高危链路(issue #512)。每条修复都带复现测试:先在未修复代码上证明漏洞存在(测试失败),修复后转绿。

Closes #512

Screenshots / preview

本次改动为运行时逻辑(工具审批门、协议门控),无 UI 视觉变化;以下是四项修复的复现测试证据(before/after):

修复内容

1. 远程 cron/hooks 任意命令执行(confirmed×2,最严重)

• 漏洞:浏览器直通白名单中 CronManage 无任何功能开关门控(terminal/git/tunnels/SFTP 均有),持网关 token 者可提交并立即执行任意 bash 脚本;本地也无任何设置可禁用
• 修复:新增 enable_web_automation 后端强制开关
  • 网关 guard.go:CronManage 移入门控分支,fail-closed
  • 桌面 envelope_handler.rs:镜像检查(403 纵深防御)
  • 另修复 run_now 绕过 enabled 检查的缺陷
• 测试:v2_cron_gating_test.go(修复前:开关关闭仍放行转发)

2. WS 预认证静默连接槽位耗尽 DoS(confirmed×2)

• 漏洞:/ws/v2/agent 与 /ws/v2/terminal 升级后无读超时,257 条裸连接即可打满全部槽位
• 修复:升级后立即设握手窗口(IdleTimeout,与浏览器链路同公式);认证完成后清除,由既有心跳维持存活,不误杀健康连接
• 测试:v2_handshake_deadline_test.go(修复前:静默连接永不关闭;另含认证后空闲连接存活回归测试)

3. <seed:tool_call> 恢复路径绕过工具审批门(confirmed×2)

• 漏洞:提示注入可诱导模型输出 seed 标记文本,恢复执行直接跳过 resolveToolGate(ask 审批卡片/deny 策略全部失效)
• 修复:恢复循环与结构化调用同权过门;拒绝时 reason 作为 toolResult 返回模型
• 测试:agent-runner.test.mjs 两个 gate 用例(修复前:工具直接执行)

4. Tunnel 目标允许云元数据/保留段 SSRF(plausible×2)

• 漏洞:validate_tunnel_target_url 只拒绝非 IP 主机名,169.254.169.254 云元数据/保留段全放行
• 修复:与网关 Go 侧对齐的 IP 黑名单(link-local/元数据/多播/保留/广播);localhost、回环、RFC1918/ULA 保持放行(暴露本地服务是 tunnel 本职);数据面 proxy.rs 复用同一校验
• 测试:validate_tunnel_target_url 拒绝用例(修复前:169.254.169.254 通过)

回归

域	结果
Go(网关)	✅ 全过(仅基线 Windows 权限测试失败,与本次无关)
Rust(桌面)	✅ 改动域全过;12 个失败为基线环境问题(shell/git 行为),干净 main 上同样失败
前端	✅ 改动域全过;5 个失败为基线,干净 main 上同样失败
git diff --check / gofmt / biome	✅ 干净(仅仓库既有 CRLF)

行为变更说明

新增 Remote 设置 enable_web_automation(默认关闭,fail-closed):开启后远程 WebUI 才能管理 cron/hooks。WebUI 的设置 UI 可在后续 PR 中补充开关入口。

🤖 Generated with Claude Code

[github-actions]

PR governance checks passed. Awaiting human review.

[su-fen]

审核结论：当前不建议直接合入

本次审核基于精确头提交 a0256c976e03ff20798939af0af9a6438cfafa7f。当前 CI、PR Governance 均已通过，GitHub 也显示 MERGEABLE / CLEAN；但代码层仍有以下 4 个阻断问题，绿色检查没有覆盖这些合同和对抗路径。

1. 阻断·安全：seed 审批门仍晚于可执行 Hook 事件

agentRunner.ts#L1839 先调用 onToolExecutionStart，直到 agentRunner.ts#L1846 才执行 resolveToolGate。

该回调会在 runAgentConversationTurn.ts#L969 派发 tool_execution_start，而 Hook 可以在 hookRunner.ts#L50 立即执行 Bash，或执行 HTTP 请求。

因此，提示注入产生的 seed 工具调用即使随后被用户拒绝，Hook 副作用也已经进入执行队列，仍存在审批前副作用链。拒绝分支还直接 continue，没有调用 onToolResult，会缺失 tool_execution_end 并可能留下运行中状态。

建议：把 seed resolveToolGate 移到 onToolExecutionStart、执行状态和 Hook 派发之前；拒绝时补齐 onToolResult，并增加“拒绝不会触发 Hook Bash/HTTP”的回归测试。

2. 阻断·安全：Tunnel 元数据过滤可被 IPv4-mapped IPv6 绕过

tunnel/mod.rs#L67 分别处理 IPv4/IPv6，但 IPv6 分支没有先执行 to_ipv4_mapped() 或等价 unmap。

对抗验证：

URL: http://[::ffff:169.254.169.254]:80/latest
url host: [::ffff:a9fe:a9fe]
mapped IPv4: 169.254.169.254
blocked_by_pr_predicate: false

也就是说，目标仍可映射到云元数据地址。仓库 Go 侧已有正确先例：outbound_http.go#L135 会先 Unmap()。

建议：统一规范化映射地址后再应用 IPv4 黑名单，并新增 http://[::ffff:169.254.169.254]/ 的创建路径与数据面测试。

3. 阻断·功能合同：enableWebAutomation 没有进入共享设置/UI 链路

Rust 后端新增了默认 false 的字段，但共享 settings/types.ts#L485 没有该字段；settings/index.ts#L572 的归一化会丢弃它；settings/sync.ts#L51 的双向同步也不包含它；Remote 页面在 RemoteSection.tsx#L541 结束于 Tunnel 开关。

实际诊断结果：即使输入 { enableWebAutomation: true }，归一化结果也没有该字段，构建出的同步载荷同样省略它。正常 UI 保存会使后端字段继续保持/落回默认 false，导致 CronManage 没有受支持的开启方式，远程 cron/hooks 实际被永久禁用。

建议：补齐共享类型、默认值、归一化、双向同步、桌面 Remote UI、i18n，以及保存/重载/同步的 round-trip 测试。

4. 阻断·功能回归：禁用任务不再允许手动 Run Now

scheduler.rs#L289 新增了 !task.enabled 拒绝，但既有测试 automation/tests.rs#L369 明确规定“禁用且剩余次数为 0 的任务仍可作为手动运行上下文”；UI 的 Run Now 按钮在 CronTaskViewModal.tsx#L151 也不会因 task.enabled=false 禁用。

PR 中新旧两个相反语义的测试可以同时通过，是因为一个只验证 Store 能读取，另一个在 Scheduler 层拒绝，并没有解决合同冲突。enabled 原本控制定时调度，并不是本地手动执行的授权边界。

建议：恢复本地手动执行的既有语义；如果只希望远程 run_now 拒绝禁用任务，应在远程 cron.manage 边界单独限制，而不是改变全局 Scheduler 行为。

已完成验证

• 最新 main 合并预演、git diff --check：通过
• Gateway go test ./...：通过
• Rust Tunnel：2/2；Automation：29/29；Settings：50/50
• Agent Runner：42/42；Settings normalization：79/79
• GUI / WebUI production build：通过
• UI boundary：8/8

这些测试证明新增 happy-path 可以工作，但没有覆盖上述审批事件顺序、IPv4-mapped IPv6、设置字段可达性和既有手动运行语义。

建议修复以上问题并推送新 SHA 后，再重新执行 CI 和对抗性审核。

[zayokami]

已按审核意见修订 4 个阻断问题,新 SHA 已推送(f5c6759)。

1. seed 审批门顺序:resolveToolGate 移到 onToolExecutionStart/onToolCall 之前(拒绝先于 tool_execution_start 派发,Hook 无法在执行前触发);拒绝分支补齐 onToolResult(配对 toolResultReceived,无悬挂运行中状态)。回归测试断言拒绝路径不触发 onToolExecutionStart、拒绝原因经 onToolResult 到达 transcript——旧顺序下该测试失败(已复现)。

2. Tunnel mapped-IPv4:is_blocked_tunnel_target_ip 的 IPv6 分支先 to_ipv4_mapped() 还原再走 IPv4 黑名单(对齐网关 outbound_http.go 的 Unmap() 先例);http://[::ffff:169.254.169.254]/ 创建路径与数据面(共用同一校验)均被拒绝,新增 mapped 拒绝/放行测试,禁用检查时测试失败(已复现)。

3. enableWebAutomation 全链路:共享 types.ts 字段、normalizeRemoteSettings、默认值、mergeSyncedRemoteSettings、buildGatewaySettingsSyncPayload、桌面 RemoteSection 开关(位于 Tunnel 之后,Zap 图标)、zh/en 标题与双端 Hint(i18n 校验要求两 host 同时提供)。新增 round-trip 测试:TS 归一化→同步载荷→应用→再归一化、缺字段旧载荷不覆盖 true;Rust 持久化/重载断言;WebUI 同步载荷断言。GUI 实测保存后字段不再被丢弃。

4. 恢复本地 Run Now 语义:scheduler.run_now 撤销 enabled 拒绝(enabled 只控制定时调度,与既有 manual_run_context_allows_disabled_exhausted_task 合同一致);远程限制移到 handle_cron_manage 的 run_now 边界(ensure_remote_run_now_allowed)——禁用任务不可经 WebUI 远程触发,本地 UI 行为不变。删除冲突测试,新增远程策略测试(拒绝/放行 + 本地 store 仍可加载禁用任务)。

回归:Rust 域 112/112;GUI 前端 1850/1855(5 个失败为 Windows 基线预存,干净树同样失败);WebUI 578/578;i18n 共享键校验 5/5;git diff --check 干净。UI 边界检查的 3 条告警在干净基线同样存在(Windows 环境预存)。

[github-actions]

This PR has been inactive for 14 days and is marked stale. It will be closed in 14 days if there is no further activity. Push an update or comment to keep it open.