CVE-2026-86242 in Bifrost
Riassunto
di VulDB • 06/09/2026
La funzionalità di trasporto HTTP di Bifrost precedente alla versione 2.0.0 accetta un plugin personalizzato abilitato il cui percorso è un URL HTTP tramite POST non autenticato a /api/plugins, quando l'autenticazione della gestione è disabilitata (impostazione predefinita: governance.auth_config.is_enabled=false). Il caricatore di oggetti condivisi tratta un percorso con prefisso http come un URL da scaricare, scrive il corpo in un file temporaneo .so e lo passa a plugin.Open di Go. Dopo una corretta apertura, l'inizializzazione opzionale (Init) viene eseguita immediatamente con la configurazione fornita dall'utente del processo Bifrost. Nelle build dinamicamente collegate documentate (DYNAMIC=1 / senza flag per il collegamento statico), che il fornitore richiede per i plugin Go personalizzati, si prevede che plugin.Open abbia esito positivo e ciò costituisce un'esecuzione di codice remoto non autenticata (RCE). Nell'immagine Docker pubblicata con collegamento statico, plugin.Open fallisce con l'errore "Dynamic loading not supported", quindi tale classe di build è soggetta solo a Server-Side Request Forgery. La complessità dell'attacco è elevata perché l'attaccante non può forzare RCE sull'immagine predefinita statica e un plugin caricabile deve corrispondere alla versione Go, al sistema operativo, all'architettura e al tipo di collegamento del host. Le versioni della linea di trasporto HTTP 1.6.x fino alla 1.6.11 non contengono la correzione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.