Apa yang terjadi
Kebijakan URL keluar MCP gagal menolak bentuk IPv4-mapped IPv6 dari alamat loopback/private, sehingga target atau redirect yang direkayasa melewati allowlist dan membuat server MCP mengambil endpoint yang seharusnya diblokir — memungkinkan SSRF ke layanan internal.
Mengapa penting
Server MCP sering menyimpan kredensial dan dapat mencapai jaringan internal. Bypass SSRF dari allowlist keluar memungkinkan penyerang menggunakan server MCP agen untuk mencapai endpoint internal/metadata, berpotensi membocorkan rahasia atau berpindah ke jaringan internal.
Vektor serangan
Kebijakan URL keluar MCP menormalkan alamat IPv4-mapped IPv6 secara salah, sehingga penyerang memberikan alamat yang dinormalisasi heks seperti ::ffff:7f00:1 (langsung atau melalui redirect) untuk membuat server MCP mengambil endpoint loopback/private/metadata yang kebijakan tersebut dimaksudkan untuk memblokir.
Sistem yang terdampak
Trawl 1.5.0 < 1.10.0
Mitigasi
Tingkatkan Trawl ke >=1.10.0 dan verifikasi normalisasi kebijakan keluar; diaudit di apps/api/src/outbound-policy.ts.