Backlog: security-ревью (fable) — 13 находок по приоритетам

2026-07-13 19:47:51 +03:00
parent f110cf7208
commit b60e55ec5e
15 changed files with 240 additions and 19 deletions
@@ -0,0 +1,16 @@
+# Закрыть admin API Caddy (localhost вместо всей сети)
+
+**Приоритет:** высокий
+
+`files/caddyproxy/Caddyfile.template:8` — `admin :2019`: admin API слушает на всех
+интерфейсах контейнера, а в `web_proxy_network` сидят все приложения. Любой
+скомпрометированный контейнер (rssbridge, tududi, calibre, ...) может POST-ом в
+`http://caddyproxy:2019/config/` переписать маршрутизацию, снять `forward_auth`,
+перехватить трафик или сертификаты. Порт реально нужен только netdata для метрик
+(`files/netdata/go.d/prometheus.conf`). Фикс: вернуть `admin localhost:2019`, а
+метрики отдать отдельным site-блоком `:2019 { metrics }` — netdata продолжит
+скрейпить, admin API станет недоступен из сети.
+
+Из sec-ревью (fable, 2026-07-13).
+
+Связано: files/caddyproxy/Caddyfile.template, files/netdata/go.d/prometheus.conf.