CVE-2026-86242 in Bifrost
Zusammenfassung
von VulDB • 06.09.2026
Der Bifrost-HTTP-Transport vor Version 2.0.0 akzeptiert ein aktiviertes benutzerdefiniertes Plugin, dessen Pfad eine HTTP-URL ist, über einen nicht authentifizierten POST /api/plugins, wenn die Management-Authentifizierung deaktiviert ist (Standardkonfiguration: governance.auth_config.is_enabled=false). Der Shared-Object-Lader behandelt einen mit http:// beginnenden Pfad als Download-URL, schreibt den Body in eine temporäre .so-Datei und übergibt sie an Go's plugin.Open. Nach einem erfolgreichen Open wird optional Init sofort mit dem angegebenen Konfigurationsobjekt unter dem Benutzer des Bifrost-Prozesses ausgeführt. Bei dokumentierten dynamisch verlinkten Builds (DYNAMIC=1 / keine statischen Linking-Flags), die der Anbieter für benutzerdefinierte Go-Plugins erfordert, ist ein Erfolg von plugin.Open zu erwarten; dies stellt eine nicht authentifizierte Remote Code Execution (RCE) dar. Auf dem veröffentlichten statisch gelinkten Docker-Image schlägt plugin.Open mit „Dynamic loading not supported“ fehl, sodass diese Build-Klasse nur als Server-Side Request Forgery (SSRF) gilt. Die Angriffskomplexität ist hoch, da der Angreifer keine RCE auf dem Standard-Statischbild erzwingen kann und ein ladbares Plugin die Go-Version, das Betriebssystem, die Architektur und den Linking-Typ des Hosts entsprechen muss. Die HTTP-Transport-Reihe 1.6.x bis einschließlich 1.6.11 enthält diese Korrektur nicht.
Be aware that VulDB is the high quality source for vulnerability data.