osv-scanner-mcp 0.1.1 → 0.1.2

package/README.md

@@ -115,9 +115,13 @@ npm run build
 | 変数 | 説明 |
 |---|---|
 | `OSV_SCANNER_PATH` | 使用するosv-scannerバイナリの明示指定。省略時はPATH→自動ダウンロードの順で解決。**指定が無効な場合はフォールバックせずエラーになります**(意図しないバイナリの実行防止) |
-| `OSV_MCP_ALLOWED_ROOT` | 指定時、このディレクトリ配下以外のスキャンを拒否します(パストラバーサル対策の境界) |
+| `OSV_MCP_ALLOWED_ROOT` | 指定時、このディレクトリ配下以外のスキャンを拒否します(パストラバーサル対策の境界)。**設定を推奨** |
+| `OSV_MCP_REQUIRE_ALLOWED_ROOT` | `1` または `true` 指定時、`OSV_MCP_ALLOWED_ROOT` が未設定ならサーバーの起動自体を拒否します(運用環境向けのfail-closedモード) |
+| `OSV_MCP_MAX_CONCURRENT_SCANS` | 同時実行できるスキャン数の上限(デフォルト `2`、最大 `16`)。超過したリクエストは待たずに即時エラーになります |
 | `OSV_MCP_AUTO_DOWNLOAD` | `0` または `false` でバイナリの自動ダウンロードを無効化(デフォルト有効) |
 
+> **推奨**: `OSV_MCP_ALLOWED_ROOT` は未設定でも動作しますが、その場合は任意の絶対パスをスキャンできてしまいます。悪意ある指示(プロンプトインジェクション)経由で意図しないディレクトリをスキャンさせられる経路を塞ぐため、プロジェクト置き場のルート(例: `~/projects`)を設定しておくことを推奨します。各クライアントの設定で `"env": {"OSV_MCP_ALLOWED_ROOT": "/Users/you/projects"}` のように渡せます(Codex CLIのTOMLでは `[mcp_servers.osv-scanner.env]` セクション)。
+
 ## 提供ツール
 
 ### `scan_java_project`
@@ -245,6 +249,7 @@ Java(Maven)プロジェクトをスキャンし、既知の脆弱性レポート
 | `no_packages_found` | スキャン対象パッケージなし(依存関係が未定義のpom.xml等) |
 | `scan_failed` | OSV-Scannerが異常終了(stderr抜粋を`detail`に含む) |
 | `scan_timeout` | タイムアウト(デフォルト120秒) |
+| `too_many_concurrent_scans` | 同時実行スキャン数が上限(デフォルト2)に達している。完了を待って再試行 |
 | `output_too_large` | 出力がサイズ上限(デフォルト32MB)を超過 |
 | `invalid_output` | 出力がJSONとして解釈できない |
 | `invalid_vulnerability_id` | 脆弱性IDの形式が不正 |
@@ -259,7 +264,8 @@ Java(Maven)プロジェクトをスキャンし、既知の脆弱性レポート
 - **サプライチェーン対策**: バイナリの自動ダウンロードは公式GitHub Releasesに限定し、バージョンをピン留め。**パッケージに埋め込まれたSHA256チェックサム**で検証します(配布元のSHA256SUMSファイルは信用しないため、リリース側が改ざんされても検出可能)。検証合格まで実行権限を与えず、キャッシュ済みバイナリも使用のたびに再検証します
 - **コマンドインジェクション対策**: シェルを経由しない `spawn` + 引数配列で実行。OSV-Scannerへの引数は固定リストのみで、可変部は検証済み絶対パス1つだけ
 - **パストラバーサル対策**: 入力パスは `realpath` でシンボリックリンク解決後に境界チェック。pom.xml探索ではシンボリックリンクを辿りません
-- **DoS対策**: タイムアウト・stdout上限・stderr抜粋上限を設定。スキャン結果は防御的にパースし、形式不正でも例外を投げません
+- **DoS対策**: タイムアウト・stdout上限・stderr抜粋上限を設定。スキャン結果は防御的にパースし、形式不正でも例外を投げません。同時実行スキャン数も上限(デフォルト2)を設け、並列リクエストによるプロセスの無制限起動を防ぎます
+- **fail-closedな運用モード**: `OSV_MCP_REQUIRE_ALLOWED_ROOT=1` で、スキャン許可ルート未設定時にサーバーの起動自体を拒否できます
 - **情報漏えい対策**: 想定外の例外はスタックトレース等を含めず `internal_error` に丸めます。外部由来のテキスト(脆弱性summary等)は長さ上限付きの「データ」として構造化して返します
 - **プロンプトインジェクション対策**: OSVデータベース由来のテキスト(summary / details / ID等)とOSV-Scannerのstderrは、LLMクライアントへ返す前にサニタイズします。制御文字(ANSIエスケープ含む)・ゼロ幅文字・双方向制御文字(RLO等)・Unicodeタグ文字(不可視のテキスト密輸)・行区切り(U+2028/2029)を除去し、NFC正規化を適用。外部データの読み取りアクセサを単一のサニタイズ境界にすることで適用漏れを防いでいます
 

package/dist/index.js

@@ -4,7 +4,9 @@
  *
  * 環境変数:
  * - OSV_SCANNER_PATH: 使用するosv-scannerバイナリの明示指定(省略時はPATHから探索)
- * - OSV_MCP_ALLOWED_ROOT: 指定時、このディレクトリ配下以外のスキャンを拒否する
+ * - OSV_MCP_ALLOWED_ROOT: 指定時、このディレクトリ配下以外のスキャンを拒否する(設定を推奨)
+ * - OSV_MCP_REQUIRE_ALLOWED_ROOT: 1/true指定時、OSV_MCP_ALLOWED_ROOT未設定なら起動を拒否する
+ * - OSV_MCP_MAX_CONCURRENT_SCANS: 同時実行スキャン数の上限(デフォルト2)
  */
 import { McpServer } from "@modelcontextprotocol/sdk/server/mcp.js";
 import { StdioServerTransport } from "@modelcontextprotocol/sdk/server/stdio.js";
@@ -12,10 +14,23 @@ import { z } from "zod";
 import { handleExplainVulnerability } from "./tools/explainVulnerability.js";
 import { handleScanJavaProject } from "./tools/scanJavaProject.js";
 import { handleSuggestFix } from "./tools/suggestFix.js";
-export const ALLOWED_ROOT_ENV = "OSV_MCP_ALLOWED_ROOT";
+import { ALLOWED_ROOT_ENV, allowedRootStartupError, allowedRootStartupWarning, } from "./utils/startupConfig.js";
+export { ALLOWED_ROOT_ENV };
+// fail-closed: 運用モードで許可ルートが未設定なら、ツールを一切公開せず終了する
+const startupError = allowedRootStartupError();
+if (startupError !== null) {
+    console.error(`osv-scanner-mcp: ${startupError}`);
+    process.exit(1);
+}
+// 互換性のため未設定でも起動は続けるが、残余リスクをstderrで可視化する
+const startupWarning = allowedRootStartupWarning();
+if (startupWarning !== null) {
+    console.error(`osv-scanner-mcp: [警告] ${startupWarning}`);
+}
+// NOTE: リリース時はpackage.jsonのversionと同じ値に更新すること
 const server = new McpServer({
     name: "osv-scanner-mcp",
-    version: "0.1.0",
+    version: "0.1.2",
 });
 server.registerTool("scan_java_project", {
     title: "Javaプロジェクトの脆弱性スキャン",

package/dist/osv/binaryDownloader.js

@@ -10,7 +10,7 @@
  *   (一時ファイルに書き込み→検証→chmod→アトミックにリネーム)
  * - キャッシュ済みバイナリも使用のたびに再検証する(キャッシュ改ざん対策)
  */
-import { createHash } from "node:crypto";
+import { createHash, randomBytes } from "node:crypto";
 import { chmod, mkdir, readFile, rename, rm, writeFile } from "node:fs/promises";
 import os from "node:os";
 import path from "node:path";
@@ -99,6 +99,12 @@ export async function ensureOsvScannerDownloaded(options = {}) {
     const cacheDir = options.cacheDir ?? defaultCacheDir();
     const versionDir = path.join(cacheDir, `v${PINNED_OSV_SCANNER_VERSION}`);
     const targetPath = path.join(versionDir, assetName);
+    // キャッシュディレクトリは所有者のみアクセス可(0700)にする。
+    // mkdirのmodeは新規作成時しか効かないため、旧版が広い権限で作った
+    // 既存ディレクトリも明示的なchmodで締める(キャッシュヒット時も毎回)
+    await mkdir(versionDir, { recursive: true, mode: 0o700 });
+    await chmod(cacheDir, 0o700);
+    await chmod(versionDir, 0o700);
     // キャッシュ済みでも毎回検証する(改ざん・破損したキャッシュは再ダウンロード)
     if (await verifyFile(targetPath, expected)) {
         return targetPath;
@@ -110,11 +116,12 @@ export async function ensureOsvScannerDownloaded(options = {}) {
     if (actual !== expected) {
         throw new ScanToolError("binary_checksum_mismatch", `ダウンロードしたOSV-Scannerのチェックサムが一致しません(改ざんまたは破損の可能性)。expected=${expected} actual=${actual}`);
     }
-    // 検証合格後に初めて実行権限を付与し、アトミックに配置する
-    await mkdir(versionDir, { recursive: true });
-    const tempPath = `${targetPath}.download-${process.pid}`;
+    // 検証合格後に初めて実行権限を付与し、アトミックに配置する。
+    // 一時ファイル名はランダム+排他作成(wx)で同時ダウンロードやシンボリック
+    // リンクの差し込みと競合しないようにする
+    const tempPath = `${targetPath}.download-${randomBytes(8).toString("hex")}`;
     try {
-        await writeFile(tempPath, buffer, { mode: 0o600 });
+        await writeFile(tempPath, buffer, { mode: 0o600, flag: "wx" });
         await chmod(tempPath, 0o755);
         await rename(tempPath, targetPath);
     }

package/dist/osv/runner.js

@@ -15,6 +15,24 @@ import { ScanToolError } from "../errors.js";
 import { resolveOsvScannerBinary } from "./binaryManager.js";
 import { parseOsvScanOutput } from "./scanReport.js";
 const DEFAULT_TIMEOUT_MS = 120_000;
+/**
+ * 同時実行スキャン数の上限(CPU・メモリ・ネットワーク枯渇対策)。
+ * MCPクライアントは並列リクエストを送れるため、osv-scannerプロセスが
+ * 無制限に増えないようプロセス全体でカウントし、超過は待たせず即時エラーにする。
+ */
+const DEFAULT_MAX_CONCURRENT_SCANS = 2;
+const MAX_CONCURRENT_SCANS_ENV = "OSV_MCP_MAX_CONCURRENT_SCANS";
+const MAX_CONCURRENT_SCANS_CEILING = 16;
+let activeScans = 0;
+function maxConcurrentScansFromEnv() {
+    const raw = process.env[MAX_CONCURRENT_SCANS_ENV];
+    if (raw === undefined || raw.trim() === "")
+        return DEFAULT_MAX_CONCURRENT_SCANS;
+    const parsed = Number(raw);
+    if (!Number.isInteger(parsed) || parsed < 1)
+        return DEFAULT_MAX_CONCURRENT_SCANS;
+    return Math.min(parsed, MAX_CONCURRENT_SCANS_CEILING);
+}
 const DEFAULT_MAX_OUTPUT_BYTES = 32 * 1024 * 1024;
 /** エラー詳細に含めるstderrの上限(外部由来テキストをそのまま膨らませない) */
 const MAX_STDERR_DETAIL_BYTES = 8 * 1024;
@@ -83,6 +101,19 @@ function execOsvScanner(binaryPath, projectDir, timeoutMs, maxOutputBytes) {
  *   絶対パスを渡すこと**(このレイヤーではパス検証を行わない)
  */
 export async function runOsvScan(projectDir, options = {}) {
+    const limit = options.maxConcurrentScans ?? maxConcurrentScansFromEnv();
+    if (activeScans >= limit) {
+        throw new ScanToolError("too_many_concurrent_scans", `同時実行できるスキャンは${limit}件までです(現在${activeScans}件実行中)。実行中のスキャン完了後に再試行してください`);
+    }
+    activeScans++;
+    try {
+        return await runOsvScanUnguarded(projectDir, options);
+    }
+    finally {
+        activeScans--;
+    }
+}
+async function runOsvScanUnguarded(projectDir, options) {
     const binaryPath = options.binaryPath ?? (await resolveOsvScannerBinary());
     const result = await execOsvScanner(binaryPath, projectDir, options.timeoutMs ?? DEFAULT_TIMEOUT_MS, options.maxOutputBytes ?? DEFAULT_MAX_OUTPUT_BYTES);
     if (result.exitCode === EXIT_NO_PACKAGES) {

package/dist/utils/startupConfig.js

@@ -0,0 +1,40 @@
+/**
+ * 起動時の設定検証。
+ *
+ * OSV_MCP_ALLOWED_ROOT(スキャン許可ルート)は未設定でも動作するが、
+ * その場合は任意の絶対パスをスキャンできてしまう。運用環境では
+ * OSV_MCP_REQUIRE_ALLOWED_ROOT=1 を設定することで、許可ルート未設定時に
+ * サーバーの起動自体を拒否できる(fail-closed)。
+ */
+export const ALLOWED_ROOT_ENV = "OSV_MCP_ALLOWED_ROOT";
+export const REQUIRE_ALLOWED_ROOT_ENV = "OSV_MCP_REQUIRE_ALLOWED_ROOT";
+function isTruthy(value) {
+    if (value === undefined)
+        return false;
+    const normalized = value.trim().toLowerCase();
+    return normalized === "1" || normalized === "true" || normalized === "yes";
+}
+/**
+ * 起動を拒否すべき設定不備があればエラーメッセージを返す。問題なければnull。
+ */
+export function allowedRootStartupError(env = process.env) {
+    if (!isTruthy(env[REQUIRE_ALLOWED_ROOT_ENV]))
+        return null;
+    const allowedRoot = env[ALLOWED_ROOT_ENV];
+    if (allowedRoot !== undefined && allowedRoot.trim() !== "")
+        return null;
+    return (`${REQUIRE_ALLOWED_ROOT_ENV}が有効ですが、${ALLOWED_ROOT_ENV}が未設定のため起動を中止します。` +
+        `スキャンを許可するルートディレクトリを${ALLOWED_ROOT_ENV}に設定してください`);
+}
+/**
+ * 起動は許可するが注意喚起すべき設定があれば警告メッセージを返す。なければnull。
+ * (許可ルート未設定=任意の絶対パスをスキャン可能な状態の可視化)
+ */
+export function allowedRootStartupWarning(env = process.env) {
+    const allowedRoot = env[ALLOWED_ROOT_ENV];
+    if (allowedRoot !== undefined && allowedRoot.trim() !== "")
+        return null;
+    return (`${ALLOWED_ROOT_ENV}が未設定のため、任意の絶対パスをスキャンできる状態です。` +
+        `プロジェクト置き場のルートを${ALLOWED_ROOT_ENV}に設定することを推奨します` +
+        `(未設定時に起動を拒否するには${REQUIRE_ALLOWED_ROOT_ENV}=1)`);
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "osv-scanner-mcp",
-  "version": "0.1.1",
+  "version": "0.1.2",
   "description": "MCP server that wraps Google's OSV-Scanner to scan Java projects for known vulnerabilities",
   "type": "module",
   "license": "Apache-2.0",