Gemini CLI 修复 SSRF 漏洞：强化 DNS 验证与 SNI 保留

diegogodinezr · ghdev · 2026-08-29

该 PR 旨在通过改进目标地址验证和连接路由来增强 WebFetchTool 的安全性。主要变更包括：使用异步 DNS 解析并验证所有返回的 IP 地址，过滤私有/保留地址（如 RFC 1918、回环地址等）；通过 Undici 连接器实现传输层连接固定，直接绑定解析后的 IP；同时保留了 TLS SNI 信息以确保 HTTPS 握手正常。该修复采取“默认拒绝”策略，防止 DNS 重绑定或 SSRF 攻击。