🛡️ Sentinel: [CRITICAL] HTTP 리다이렉트를 통한 SSRF 우회 취약점 해결

[seonghobae]

🚨 Severity: CRITICAL
💡 Vulnerability: urllib.request.urlopen이 301/302 등 HTTP 리다이렉트 발생 시 초기 검증(예: _is_safe_url)을 무시하고 내부 IP(예: 127.0.0.1, 169.254.169.254) 혹은 지원되지 않는 스키마(file://)로 자동 이동하여 Server-Side Request Forgery(SSRF) 방어를 우회할 수 있는 취약점이 발견되었습니다.
🎯 Impact: 공격자가 악의적인 서버를 제어하여 리다이렉트를 통해 내부 네트워크 인프라 스캔, 민감한 내부 API 접근, 또는 로컬 파일 시스템 정보 탈취를 시도할 수 있습니다.
🔧 Fix: urllib.request.HTTPRedirectHandler를 상속받은 SecureRedirectHandler를 구현하고, redirect_request 메서드를 오버라이드하여 리다이렉트될 URL(newurl)에도 _is_safe_url 검증을 수행하도록 조치했습니다. 이후 urlopen 대신 build_opener를 사용하여 이 커스텀 핸들러를 주입했습니다. 해당 패치는 scanner/cli/appguardrail.py와 appguardrail_core/controlplane.py 모두에 적용되었습니다.
✅ Verification: tests/test_controlplane.py의 테스트 코드 및 목(Mock)이 성공적으로 동작하며 전체 테스트 스위트가 통과하는 것을 확인했습니다.

---

PR created automatically by Jules for task 6806069573653241137 started by @seonghobae

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.