何が起きたか
0.9.4 より前では、ideonのOAuthおよびMCP URLに対するSSRF保護は、ホスト名の正規表現/文字列マッチングに依存し、IPv4マップIPv6アドレスを正規化していなかったため、攻撃者提供のURL/リダイレクトでループバックまたはプライベートIPv4をIPv4マップIPv6形式で参照すると、ブロックを回避して内部サービスに到達できた。
なぜ重要か
MCP URL検証パスはAIエージェントツール接続のSSRF境界です。バイパスにより、エージェント駆動のリクエストが内部ネットワークサービスやクラウドメタデータに到達できる。
攻撃経路
validateUrlForSSRF()/safeFetch() および validateMcpUrl() におけるSSRFホストブロッキングは、 new URL(url).hostname に対する文字列/正規表現マッチングによってホストをブロックします。そのIPv6ブランチはIPv4マップIPv6形式を正規化しないため、細工されたターゲットやリダイレクトがブロックリストを回避します。
影響を受けるシステム
3xpyth0n/ideon < 0.9.4 (validateUrlForSSRF / validateMcpUrl)
緩和策
ideon 0.9.4（IPv6およびIPv4マップIPv6アドレスを正規化）にアップグレードしてください。OAuth/MCPプロバイダーURLを許可リストに制限してください。