Lỗ hổng nghiêm trọng trong Bifrost AI Gateway cho phép chạy lệnh không cần xác thực
"A critical vulnerability in Bifrost AI Gateway, tracked as CVE-2026-90898 (CVSS 9.8), allows an unauthenticated attacker to execute arbitrary commands on the gateway server via a single POST request to the management API when authentication is disabled by default. A related issue, CVE-2026-86242 (CVSS 8.1), lets attackers register a custom plugin from a remote HTTP URL, potentially leading to code execution on dynamically linked builds; fixes are available in transports/v2.1.0 for the MCP flaw and transports/v2.0.0 for the plugin flaw."
Ảnh hưởng ở mức thực thi lệnh từ xa trên gateway server, có thể dẫn tới lộ API keys và kiểm soát hệ thống nếu management API bị phơi bày.
Có thể gây gián đoạn dịch vụ AI gateway, rủi ro rò rỉ thông tin xác thực và ảnh hưởng tới các tích hợp LLM đang phụ thuộc vào hệ thống.
Bifrost, một AI gateway mã nguồn mở dùng để định tuyến yêu cầu tới hơn 20 nhà cung cấp LLM, tồn tại lỗ hổng nghiêm trọng CVE-2026-90898 với điểm CVSS 9.8. Lỗi này cho phép kẻ tấn công không cần xác thực gửi một POST request duy nhất tới management API để thực thi lệnh tùy ý trên máy chủ gateway, khi cơ chế xác thực đang bị tắt theo mặc định.
Theo mô tả kỹ thuật, kẻ tấn công có thể đăng ký một MCP client kiểu stdio qua endpoint /api/mcp/client; Bifrost sẽ khởi chạy lệnh ngay trước khi diễn ra bất kỳ MCP handshake nào. Trên bản Docker image chính thức, tiến trình chạy dưới người dùng appuser, và vì gateway lưu API keys của các nhà cung cấp đã kết nối, việc chiếm quyền thực thi có thể dẫn tới lộ thông tin xác thực.
Bản sửa đã có trong transports/v2.1.0. Quản trị viên nên nâng cấp ngay, hoặc tạm thời bật governance.auth_config.is_enabled, dùng thông tin xác thực mạnh và không để management listener lộ ra mạng không tin cậy. JFrog cũng khuyến nghị coi các phiên bản đã chạy với xác thực tắt và API quản trị bị lộ là đã bị xâm nhập, đồng thời xoay vòng API keys.
Ngoài ra, lỗ hổng liên quan CVE-2026-86242 với điểm CVSS 8.1 cho phép đăng ký custom plugin từ HTTP URL; bản vá nằm trong transports/v2.0.0.