CVE-2026-86242 in Bifrost
要約
〜によって VulDB • 2026年09月06日
BifrostのHTTPトランスポート（バージョン2.0.0より前）は、管理認証が無効になっている場合（デフォルト設定: governance.auth_config.is_enabled=false）、認証不要なPOST /api/pluginsを通じて、パスがHTTP URLである有効化されたカスタムプラグインを受け入れます。共有オブジェクトローダーはhttpで始まるパスをダウンロードURLとして扱い、ボディを一時的な.soファイルに書き込み、Goのplugin.Openに渡します。オープンが成功すると、Init（存在する場合）がBifrostプロセスのユーザー権限で即座に実行されます。ベンダーがカスタムGoプラグインに対して必須としている文書化されたダイナミックリンクビルド（DYNAMIC=1 / static-linkフラグなし）では、plugin.Openは正常に完了し、これは認証不要のリモートコード実行（RCE）となります。一方、公開されている静的リンク付きのDockerイメージでは、plugin.Openは「Dynamic loading not supported」で失敗するため、このビルドクラスにおける攻撃はサーバーサイドリクエストフォージェリー（SSRF）に限られます。攻撃複雑度は高くなります。これは、攻撃者がデフォルトの静的イメージに対してRCEを強制できず、かつ読み込み可能なプラグインがホストのGoバージョン、OS、アーキテクチャ、およびリンケージと一致する必要があるためです。1.6.x HTTPトランスポートライン（1.6.11まで）にはこの修正は含まれていません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.