1.1 KiB
1.1 KiB
Закрыть admin API Caddy (localhost вместо всей сети)
Приоритет: высокий
files/caddyproxy/Caddyfile.template:8 — admin :2019: admin API слушает на всех
интерфейсах контейнера, а в web_proxy_network сидят все приложения. Любой
скомпрометированный контейнер (rssbridge, tududi, calibre, ...) может POST-ом в
http://caddyproxy:2019/config/ переписать маршрутизацию, снять forward_auth,
перехватить трафик или сертификаты. Порт реально нужен только netdata для метрик
(files/netdata/go.d/prometheus.conf). Фикс: вернуть admin localhost:2019, а
метрики отдать отдельным site-блоком :2019 { metrics } — netdata продолжит
скрейпить, admin API станет недоступен из сети.
Из sec-ревью (fable, 2026-07-13).
Связано: files/caddyproxy/Caddyfile.template, files/netdata/go.d/prometheus.conf.