tufantunc/ssh-mcp

В SSH-MCP v2.21.0 добавлена горячая перезагрузка конфигурации через SIGHUP и новый инструмент reload-config.

• Added: Конфигурационный файл config.toml теперь можно перезагружать без перезапуска сервера.
• Added: Добавлен инструмент reload-config для проверки статуса и принудительной перезагрузки настроек.
• Breaking: Сигнал SIGHUP больше не останавливает сервер, а инициирует перезагрузку конфигурации.
• Breaking: Конфигурация с дублирующимися именами профилей теперь отвергается, ранее использовался первый профиль.
• Added: Изменено поведение HTTP-сервера: он больше не завершается при закрытии терминала.

Исправлено зависание сессий при обрыве соединения и улучшена обработка ошибок сервера.

• Breaking: Бездействующие HTTP-сессии теперь истекают после TTL (по умолчанию 30 минут) или вытесняются при достижении лимита в 64 сессии.
• Fixed: Некорректно завершенные клиентами сессии больше не занимают место навсегда, освобождая слоты для новых подключений.
• Fixed: Внутренние ошибки сервера теперь возвращают код 500 и запись в stderr, а не приводят к необработанным исключениям.
• Added: Обновлены зависимости OpenTelemetry, SDK MCP и другие пакеты до актуальных версий.

В версии 2.16.0 клиенты IPv6 теперь группируются по подсети /64 для общих лимитов аутентификации и запросов.

• Breaking: Клиенты IPv6 теперь идентифицируются по подсети /64, а не по полному адресу, что объединяет бюджеты лимитов для всей сети.
• Added: Нормализация IPv6-адресов: разные записи (регистр, ведущие нули, суффиксы зоны) теперь приводят к одному ключу клиента.
• Added: IPv4-адреса, инкапсулированные в IPv6 (например, ::ffff: или NAT64), теперь корректно группируются как IPv4-клиенты.
• Fixed: Параметры --authFailureLimit и --rateLimit теперь корректно применяют общие лимиты для хостов, находящихся за одним /64.

В v2.13.0 профиль read-only теперь проверяет аргументы команд по грамматике, а не только их имена.

• Breaking: read-only теперь требует, чтобы каждый аргумент разрешённой команды (cat, grep и др.) соответствовал строгой грамматике бинарного файла, а не просто совпадал с именем.
• Breaking: Команды, ранее работавшие в профилях readOnly или роли viewer, теперь могут быть отклонены, если их синтаксис не проходит новую проверку.
• Fixed: При отказе в выполнении система указывает конкретное запрещённое слово, помогая пользователю найти допустимый вариант синтаксиса.
• Added: Добавлены строгие ограничения для таких команд, как uniq, ifconfig, find, git remote show и sort на Windows, исключающие опасные аргументы.

Ужесточена классификация команд: закрыты лазейки для обхода политик безопасности через интерпретаторы и аргументы sort.

• Breaking: Команды с незнакомыми бинарниками теперь классифицируются как privileged, если содержат эскалацию прав, что может вызвать запрос подтверждения.
• Fixed: sort --compress-program=<path> больше не считается read-only, так как позволяет запускать произвольные программы.
• Added: Расширен список интерпретаторов (osascript, lua, bun, deno, pwsh) для корректной проверки безопасности передаваемых им команд.
• Fixed: Исправлена обработка коротких и длинных аргументов в sort, чтобы исключить обход ограничений через префиксы или кластеры флагов.

Улучшена прозрачность аудита sftp-upload и добавлена маркировка сессий агентов через переменную окружения.

• Fixed: В аудите и запросе подтверждения sftp-upload теперь детально описываются параметры загрузки (размер, хеш), а не только путь назначения.
• Breaking: Изменение формата строки аудита sftp-upload может сломать существующие правила denylist, привязанные к полному тексту команды.
• Added: Команды и сессии теперь передают переменную окружения AI_AGENT=ssh-mcp, позволяя операторам отличать сессии агентов от пользовательских.
• Added: Добавлено поле конфигурации announceAgent, позволяющее отключить отправку переменной AI_AGENT на конкретные хосты.

Исправлена логика классов безопасности для SFTP, зарезервировано пространство команд и улучшена валидация путей.

• Fixed: Инструменты sftp-list и sftp-download теперь корректно работают в профилях с readOnly, как и заявлено в документации.
• Breaking: Пространство имен команд sftp: и session: зарезервировано; run-command и read-command отказываются выполнять команды с такими префиксами.
• Fixed: Добавлена строгая валидация удаленных путей для sftp-upload и sftp-download, исключающая пустые, слишком длинные или содержащие управляющие символы пути.
• Fixed: Разрешено использование символов нулевой ширины ZWNJ и ZWJ, необходимых для корректного отображения персидского и индийских шрифтов.

Исправлена логика проверки SSH-ключей: режим strict теперь работает корректно, устранены коллизии между профилями.

• Fixed: Исправлен режим --hostKeyMode=strict, который ранее блокировал все подключения из-за ошибки в логике проверки ключей.
• Fixed: Устранена проблема коллизий: теперь pinned-ключ профиля имеет приоритет над записями в общем хранилище, предотвращая ложные ошибки HOST_KEY_MISMATCH.
• Breaking: Ключ, не совпадающий с pinned-значением, теперь явно вызывает ошибку HOST_KEY_PIN_MISMATCH вместо скрытого сбоя рукопожатия.
• Fixed: Параметр trustedHostKey теперь корректно удовлетворяет требованиям режима strict, позволяя безопасное подключение при наличии пина.

Исправлены уязвимости в классификаторе команд, добавлен режим отказа при недоступности OPA и защита от перебора токенов.

• Fixed: Устранены лазейки в регулярных выражениях, позволявшие обходить защиту от бомбы fork.
• Added: Добавлен флаг --opaFailClosed для принудительного отказа при недоступности OPA-сервиса.
• Fixed: Исправлена обработка таймаутов и ошибок парсинга URL для OPA, предотвращающая скрытые сбои.
• Fixed: Внедрена защита от перебора токенов аутентификации (rate limiting) для HTTP-транспорта.
• Breaking: Интерактивные сессии теперь классифицируются как destructive, что ограничивает их запуск на продакшене.

Критическое исправление безопасности классификатора команд SSH, устраняющее обход защиты через кавычки и интерпретаторы.

• Fixed: Устранена уязвимость обхода классификатора команд через экранирование кавычками и использование интерпретаторов (CVSS 9.9).
• Fixed: Команды sftp-upload и interactive open-session теперь классифицируются как destructive для предотвращения записи произвольных файлов.
• Fixed: Улучшена логика оценки рисков: теперь учитывается максимальный уровень опасности среди всех вложенных команд и носителей.
• Breaking: Изменены правила доступа: роли operator/viewer на prod/dev теперь получают отказ (deny) вместо разрешения для указанных операций.
• Added: Введен новый токенизатор, корректно разделяющий команды по разделителям вне кавычек для точной проверки правил безопасности.

Обновление Zod до 4.x с переработкой валидации конфигураций, исправлением безопасности и изменением сообщений об ошибках.

• Breaking: Обновление Zod до версии 4.x, что привело к изменению структуры схем в tools/list и переписыванию всех сообщений валидации конфигураций.
• Fixed: Исправлена уязвимость: защита от прототипного загрязнения теперь проверяет сырые данные до обработки Zod, предотвращая молчаливое удаление скрытых ролей.
• Fixed: Исправлена ошибка валидации: добавлено ограничение maximum для signal-process.pid, чтобы избежать проблем с безопасными целыми числами.
• Added: Удалена зависимость overrides, позволяющая использовать единую версию Zod 4 и избежать конфликтов с вложенными зависимостями SDK.
• Fixed: Улучшена диагностика ошибок: теперь сообщения указывают конкретную роль с неверным уровнем, а не только сам уровень.