SSRF e servidores MCP locais: riscos de rede e defesa contra DNS rebinding

Introdução

SSRF descreve o risco de um serviço realizar solicitações de rede para destinos não previstos sob a influência de uma entrada. Em uma integração MCP, esse risco pode estar em uma ferramenta que consulta URLs, importa arquivos ou acessa serviços internos; não é inerente ao protocolo.

O caso do serviço local

A especificação do Streamable HTTP inclui uma advertência concreta sobre DNS rebinding: os servidores MUST validar o cabeçalho Origin em cada conexão de entrada e responder 403 Forbidden se ele estiver presente e não for válido. Para execução local, indica que os servidores SHOULD se vincular apenas a localhost (127.0.0.1) em vez de todas as interfaces (0.0.0.0) e que SHOULD implementar autenticação adequada.

A validação de Origin não deve ser confundida com uma defesa completa para toda solicitação de saída. Se uma ferramenta aceita URLs ou nomes de host, valide o destino segundo uma política explícita, limite protocolos e bloqueie redes internas ou destinos desnecessários. Revalide após resolver nomes e proteja contra mudanças entre a resolução e a conexão. Não confie apenas em listas de domínios se a ferramenta puder redirecionar ou resolver de outra forma.

Defesa em camadas

Reduza as capacidades de rede do processo por meio de isolamento, regras de saída e acesso explícito aos destinos necessários. Desative redirecionamentos automáticos ou revalide cada destino redirecionado. Estabeleça limites de tempo, tamanho e quantidade de solicitações. Registre o destino lógico e a decisão de política para auditoria, evitando guardar dados sensíveis da resposta.

Teste esses controles em um ambiente controlado, incluindo endereços privados e mudanças de resolução. Não use serviços MCP reais nem redes de terceiros como alvo de testes.

Conclusão

Para servidores locais, combine Origin validado, vínculo a localhost e autenticação; para solicitações de saída, acrescente política de destinos e controles de rede. Uma única verificação não cobre ambos os sentidos.