17 lines
1.1 KiB
Markdown
17 lines
1.1 KiB
Markdown
# Закрыть admin API Caddy (localhost вместо всей сети)
|
||
|
||
**Приоритет:** высокий
|
||
|
||
`files/caddyproxy/Caddyfile.template:8` — `admin :2019`: admin API слушает на всех
|
||
интерфейсах контейнера, а в `web_proxy_network` сидят все приложения. Любой
|
||
скомпрометированный контейнер (rssbridge, tududi, calibre, ...) может POST-ом в
|
||
`http://caddyproxy:2019/config/` переписать маршрутизацию, снять `forward_auth`,
|
||
перехватить трафик или сертификаты. Порт реально нужен только netdata для метрик
|
||
(`files/netdata/go.d/prometheus.conf`). Фикс: вернуть `admin localhost:2019`, а
|
||
метрики отдать отдельным site-блоком `:2019 { metrics }` — netdata продолжит
|
||
скрейпить, admin API станет недоступен из сети.
|
||
|
||
Из sec-ревью (fable, 2026-07-13).
|
||
|
||
Связано: files/caddyproxy/Caddyfile.template, files/netdata/go.d/prometheus.conf.
|