mcp-shell-sudo

Linux 向けの MCP サーバーで、Python で書かれており、argv を使用してローカルコマンドを実行します。PASSWORD_SUDO による非対話型の sudo をサポートし、ALLOW_COMMANDS によるオプションのコマンド許可リストを提供し、Bubblewrap を使用してファイルシステムへの書き込みを WORK_DIR に限定できます。

要件

• Linux。

• Python 3.11+。

• uv 推奨。

• MCP Python SDK 2.0.0。

• 昇格したコマンドを実行する場合は sudo。

• WORK_DIR を設定する場合は bubblewrap。

Debian/Ubuntu の場合:

sudo apt update
sudo apt install -y bubblewrap

Related MCP server: MCP Process Server

環境変数

PASSWORD_SUDO

MCP サーバーを実行するユーザーのパスワード。

• 空または未設定: サーバーはパスワードを発明したり、対話的に要求したりすることはありません。sudo で始まるコマンドは sudo -n を使用して実行され、有効なキャッシュされた資格情報がすでに存在するか、NOPASSWD ルールが設定されている場合にのみ機能します。

• 設定: sudo は -S 付きで実行され、パスワードは stdin を介して提供されます。argv やログには決して含まれません。

例:

"PASSWORD_SUDO": "my-password"

サポートされる形式は次のとおりです:

["sudo", "id"]

sudo -u postgres ... などのカスタム sudo フラグは受け付けられません。これにより、ポリシーレイヤーが完全な sudo コマンド文法を解釈する必要がなくなります。

WORK_DIR

オプションの作業ディレクトリ。

• 空または未設定: MCP サーバーは、ツール呼び出しで指定された既存の任意のディレクトリから作業できます。

• 設定: サーバーは厳格モードに入ります。directory は WORK_DIR 内に解決される必要があり、すべてのプロセスは Bubblewrap マウント名前空間内で実行され、/ は読み取り専用、WORK_DIR は読み書き可能でマウントされ、/tmp と /run は一時的です。

cwd だけを使用しても、この分離を保証するには不十分です。プロセスは /etc や /home/... に書き込んだり、プロジェクト外のシンボリックリンクをたどったりする可能性があります。このため、WORK_DIR が設定されているが bwrap が利用できない場合、サーバーは起動時に失敗します。

このモードでは、sudo は拒否されます。ホストレベルの権限昇格は、ファイルシステムへの書き込みがワークスペース内に限定されるという保証と互換性がないためです。

ALLOW_COMMANDS

カンマ区切りの実行可能ファイル名のリスト。

"ALLOW_COMMANDS": "git,ls,cat,grep,python,node,pnpm"

• 空または未設定: すべての実行可能ファイルが許可されます。

• 設定: リスト内の正確な実行可能ファイル名のみが許可され、/usr/bin/git などのパスではなく名前で呼び出す必要があります。

• コマンドが sudo で始まる場合、sudo に続く実際の実行可能ファイルが検証されます。

許可リストは実行可能ファイルに適用され、引数には適用されません。bash、python、node、env、またはプロセスを実行できる別のツールを許可すると、MCP クライアントが実行できることが大幅に拡大します。

インストール

uv sync

開発用:

uv sync --extra dev

手動実行

uv run mcp-shell-sudo

トランスポートは stdio です。JSON-RPC メッセージを破損しないように、ログは stdout に書き込まれることはありません。ログは stderr に書き込まれます。

MCP 設定

制限なしのコマンドと sudo を有効にした例:

{
  "mcpServers": {
    "shell": {
      "command": "uv",
      "args": [
        "--directory",
        "/ABSOLUTE/PATH/mcp-shell-sudo",
        "run",
        "mcp-shell-sudo"
      ],
      "env": {
        "PASSWORD_SUDO": "YOUR_PASSWORD",
        "WORK_DIR": "",
        "ALLOW_COMMANDS": ""
      }
    }
  }
}

特定のプロジェクトに限定した例:

{
  "mcpServers": {
    "shell-project": {
      "command": "uv",
      "args": [
        "--directory",
        "/ABSOLUTE/PATH/mcp-shell-sudo",
        "run",
        "mcp-shell-sudo"
      ],
      "env": {
        "PASSWORD_SUDO": "",
        "WORK_DIR": "/home/user/projects/app",
        "ALLOW_COMMANDS": "git,ls,cat,grep,find,python,node,pnpm"
      }
    }
  }
}

shell_execute ツール

基本的な入力:

{
  "command": ["ls", "-la"]
}

作業ディレクトリを指定:

{
  "command": ["git", "status"],
  "directory": "backend"
}

stdin を指定:

{
  "command": ["cat"],
  "stdin": "hello\n"
}

sudo を使用:

{
  "command": ["sudo", "id"]
}

応答:

{
  "stdout": "uid=0(root) gid=0(root) groups=0(root)\n",
  "stderr": "",
  "status": 0,
  "execution_time": 0.031,
  "timed_out": false,
  "output_limited": false
}

shell_config ツール

有効な非秘密設定を返します。

PASSWORD_SUDO を返すことは決してありません。sudo パスワードが設定されているかどうかのみを示します。

実装されたセキュリティ対策

• create_subprocess_exec を使用します。shell=True は使用しません。

• command は明示的な argv 配列として渡されます。

• sudo パスワードは argv、応答、ログ、子プロセス環境に決して表示されません。

• PASSWORD_SUDO が設定されていない場合、sudo -n により、対話的なパスワードプロンプトを待ってプロセスがハングするのを防ぎます。

• ALLOW_COMMANDS は、単純な sudo 呼び出しに続く実際の実行可能ファイルを検証します。

• 固定された縮小された PATH を使用して、. や任意の継承されたパスから実行可能ファイルを解決しないようにします。

• MCP サーバー環境全体を継承する代わりに、縮小された子環境を使用します。

• 呼び出しごとのタイムアウト: デフォルト 60 秒、最大 600 秒。

• 出力制限: ストリームあたり 2 MiB。制限を超えると、プロセスグループ全体が終了されます。

• プロセスは新しいセッションで実行され、タイムアウト時にプロセスグループ全体が終了されます。

• WORK_DIR は Bubblewrap を使用し、分離を提供できない場合はフェイルクローズします。

重要な制限事項

1. ALLOW_COMMANDS="" は、MCP サーバーを実行しているユーザーの権限での任意のコマンド実行を意味します。PASSWORD_SUDO も設定されている場合、MCP クライアントは root としてのアクションを要求できます。この設定は、制御しているクライアントとモデルでのみ使用してください。

2. 実行可能ファイルの許可リストは、コマンド引数を意味的に検証しません。python、node、bash、sh、perl などのツールは、事実上、任意のコード実行を許可することと同じです。

3. WORK_DIR は書き込み可能なファイルシステムの場所を限定しますが、VM やネットワークサンドボックスとして動作することを意図したものではありません。ネットワークアクセスを持つコマンドは、有効な資格情報を持つリモートリソースを変更する可能性があります。

4. MCP クライアント設定に保存された PASSWORD_SUDO は、そのファイルに保存された秘密情報のままです。chmod 600 でファイルの権限を制限し、バージョン管理にコミットしないでください。

テスト

uv run --extra dev pytest
uv run --extra dev ruff check .