Ruflo dính lỗ hổng cho phép kẻ tấn công không cần xác thực thực thi lệnh và đầu độc bộ nhớ AI
"A maximum-severity flaw in Ruflo (CVE-2026-59726, CVSS 10.0) allowed unauthenticated network attackers to reach an exposed MCP bridge and invoke tools that led to remote code execution. The issue affected all versions before 3.16.3; the fix binds the bridge to loopback by default, restricts terminal execution, and enables MongoDB authentication to reduce API key theft, conversation exposure, and AI memory poisoning risk."
Lỗ hổng cho phép không cần xác thực gọi công cụ dẫn tới remote code execution, từ đó đánh cắp API key và đầu độc bộ nhớ AI để ảnh hưởng phản hồi về sau.
Nguy cơ bị chiếm quyền trên nền tảng có thể gây rò rỉ dữ liệu hội thoại, làm sai lệch hành vi AI và phát sinh chi phí khắc phục do cần luân chuyển khóa và điều tra toàn diện.
Các nhà nghiên cứu bảo mật đã công bố một lỗ hổng mức tối nghiêm trọng trong Ruflo (mã CVE-2026-59726, CVSS 10.0) có thể dẫn đến remote code execution từ xa mà không cần xác thực. Lỗi ảnh hưởng đến mọi phiên bản trước 3.16.3. Theo mô tả, Ruflo là nền tảng điều phối tác nhân AI đa tác vụ, tích hợp Model Context Protocol (MCP) để gọi công cụ.
Nguyên nhân cốt lõi là cấu hình mặc định của docker-compose.yml đã mở MCP bridge ra mạng: cổng 3001 được ràng buộc tới 0.0.0.0, cho phép truy cập từ bất kỳ máy nào có thể kết nối mạng. Khi bị khai thác, kẻ tấn công chỉ cần gửi HTTP POST tới endpoint /mcp để gọi tools/call và kích hoạt công cụ terminal_execute, từ đó chiếm quyền thực thi lệnh trong container.
Hệ quả gồm trộm API key của nhà cung cấp LLM, đọc toàn bộ hội thoại người dùng, và poison AI memory bằng cách ghi payload độc hại vào /app để thao túng dữ liệu học trong AgentDB. Bên phát triển đã phát hành bản vá trong vòng 24 giờ sau công bố có trách nhiệm: ràng buộc MCP về loopback, siết quyền thực thi thông qua kiểm soát executeTool, và bật MongoDB authentication.
Khuyến nghị: đóng cổng 3001 và 27017 trên firewall, luân chuyển toàn bộ LLM API keys, rà soát AgentDB pattern store và kiểm tra dấu hiệu can thiệp trên MongoDB; đồng thời xây dựng lại container từ image sạch.