[SSRF-Blockierung des privaten Netzwerks bei Audiotranskription nach Upgrade auf v2026.4.14] - SSRF Block on Private Network Audio Transcription After v2026.4.14 Upgrade

Primäre Fehleräußerung

Audio-Transkriptionsanfragen an OpenAI-kompatible Endpunkte auf privaten LAN-IPs werden mit einem SSRF-Verstoß blockiert, trotz expliziter Konfiguration, die den Zugriff auf private Netzwerke erlaubt.

[security] blocked URL fetch (url-fetch) target=http://192.168.x.x:5092/v1/audio/transcriptions reason=Blocked hostname or private/internal/special-use IP address
[media-understanding] audio: failed (0/1) reason=SsrFBlockedError

Betroffene Operationen

• Sprachnachrichten-Transkription über parakeet-Modell auf selbst gehosteten STT-Endpunkten
• Jeder media.audio-Tool-Aufruf, der auf private/interne IP-Adressen abzielt
• OpenAI-kompatible API-Endpunkte auf LAN-Adressen (z.B. 192.168.x.x, 10.x.x.x, 172.16.x.x)

Konfiguration, die funktionieren sollte

Die folgende Konfiguration ist der dokumentierte Ansatz zur Aktivierung des privaten Netzwerkzugriffs für STT-Anbieter:

{
  "models": {
    "providers": {
      "openai": {
        "apiKey": "local",
        "baseUrl": "http://192.168.x.x:5092/v1",
        "request": {
          "allowPrivateNetwork": true
        }
      }
    }
  },
  "tools": {
    "media": {
      "audio": {
        "enabled": true,
        "models": [{ "provider": "openai", "model": "parakeet" }]
      }
    }
  }
}

Versionskontext

Diagnose-Befehlsausgabe

Wenn die Fehlersuche aktiviert ist, kann Folgendes in den Logs erscheinen:

# Enable debug logging to trace request resolution
DEBUG=openclaw:* node index.js

# Expected SSRF block in output:
[security] blocked URL fetch (url-fetch) target=http://192.168.x.x:5092/v1/audio/transcriptions reason=Blocked hostname or private/internal/special-use IP address

Übersicht

Zwei unabhängige Bugs in der Version v2026.4.14 bilden eine Kaskade, die die allowPrivateNetwork-Konfiguration aus den Anbieter-Anfrageeinstellungen stillschweigend entfernt. Beide Bugs müssen vorhanden sein, um den Fehler zu reproduzieren, und beide müssen behoben werden, um das korrekte Verhalten wiederherzustellen.

Bug 1: resolveProviderExecutionContext Entfernt allowPrivateNetwork aus der Anbieter-Konfiguration

Betroffene Datei: runner.entries-*.js (dist-Datei)

Codepfad:

Die Funktion resolveProviderExecutionContext konstruiert das request-Objekt, das an transcribeAudio über die folgende Zusammenführungskette übergeben wird:

javascript request: mergeProviderRequestOverrides( sanitizeConfiguredProviderRequest(params.config?.request), sanitizeConfiguredProviderRequest(params.entry.request) )

Grundursache:

Die Funktion führt nur zusammen:

• params.config?.request — Request-Konfiguration auf Tool-Ebene (von tools.media.audio.request)
• params.entry.request — Request-Überschreibungen auf Entry-Ebene

Entscheidend ist, dass die Anbieter-Level-Konfiguration (models.providers.<id>.request) niemals in diese Zusammenführung einbezogen wird. Die Funktion sanitizeConfiguredProviderRequest filtert explizit nur diese Felder:

javascript // Fields preserved by sanitizeConfiguredProviderRequest const ALLOWED_REQUEST_FIELDS = [‘headers’, ‘auth’, ‘proxy’, ’tls’]; // Note: ‘allowPrivateNetwork’ is intentionally NOT in this list

Ergebnis: Selbst wenn ein Betreiber korrekt konfiguriert:

json “models”: { “providers”: { “openai”: { “request”: { “allowPrivateNetwork”: true } } } }

Dieser Wert wird stillschweigend verworfen, da die Anbieterkonfiguration während der Konstruktion des Request-Objekts für die Audio-Transkription niemals abgefragt wird.

Bug 2: resolveProviderRequestPolicyConfig Ignoriert allowPrivateNetwork in params.request

Betroffene Datei: provider-request-config-*.js (dist-Datei)

Codepfad:

Die Funktion resolveProviderRequestPolicyConfig gibt die aufgelöste Sicherheitsrichtlinie zurück:

javascript allowPrivateNetwork: params.allowPrivateNetwork ?? false

Grundursache:

Die Funktion prüft nur params.allowPrivateNetwork — ein direkter Parameter, den Aufrufer explizit übergeben müssen. Allerdings leiten alle Audio-Transkriptions-Aufrufer ihre Request-Konfiguration von resolveProviderHttpRequestConfig ab und übergeben sie als request: params.request.

Die Aufrufer (z.B. transcribeOpenAiCompatibleAudio, transcribeDeepgramAudio) setzen:

javascript { request: resolveProviderHttpRequestConfig({ model: params.model, provider: params.provider, // allowPrivateNetwork IS present here from Bug 1 fix }) }

Aber resolveProviderRequestPolicyConfig empfängt params.request?.allowPrivateNetwork und prüft es nie. Der Wert wird nur aus dem flachen Parameter params.allowPrivateNetwork gelesen, den Audio-Aufrufer nicht explizit setzen.

Ergebnis: Selbst wenn Bug 1 behoben wäre und allowPrivateNetwork korrekt in params.request platziert würde, würde Bug 2 es während der Richtlinienauflösung stillschweigend verwerfen.

Fehlersequenzdiagramm

┌─────────────────────────────────────────────────────────────────────────┐ │ CORRECT BEHAVIOR (v2026.4.12/13) │ ├─────────────────────────────────────────────────────────────────────────┤ │ models.providers.openai.request.allowPrivateNetwork = true │ │ │ │ │ ▼ │ │ resolveProviderExecutionContext() merges provider config │ │ │ │ │ ▼ │ │ request.allowPrivateNetwork = true (propagated correctly) │ │ │ │ │ ▼ │ │ resolveProviderRequestPolicyConfig() reads from request object │ │ │ │ │ ▼ │ │ Audio transcription succeeds on private IP endpoint │ └─────────────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────────────┐ │ BROKEN BEHAVIOR (v2026.4.14) │ ├─────────────────────────────────────────────────────────────────────────┤ │ models.providers.openai.request.allowPrivateNetwork = true │ │ │ │ │ ┌───────────────────┴───────────────────┐ │ │ ▼ ▼ │ │ [BUG 1] resolveProviderExecutionContext() Provider config │ │ NEVER includes provider config → allowPrivateNetwork = undefined │ │ │ │ │ ▼ │ │ mergeProviderRequestOverrides() produces request without │ │ allowPrivateNetwork field │ │ │ │ │ ▼ │ │ [BUG 2] resolveProviderRequestPolicyConfig() │ │ only checks params.allowPrivateNetwork (not params.request) │ │ → allowPrivateNetwork = false (default) │ │ │ │ │ ▼ │ │ SS