CVE-2026-86242 in Bifrost
요약
\~에 의해 VulDB • 2026. 09. 06.
2.0.0 이전 버전의 Bifrost HTTP 트랜스포트는 관리 인증이 비활성화되어 있을 때(기본값, governance.auth_config.is_enabled=false), 인증되지 않은 POST /api/plugins를 통해 경로가 HTTP URL인 활성화된 사용자 정의 플러그인을 허용합니다. 공유 객체 로더(http로 시작하는 경로를 다운로드 URL로 처리)는 본문을 임시 .so 파일에 작성하고 Go의 plugin.Open으로 전달합니다. 성공적인 오픈 후, 선택적 Init이 Bifrost 프로세스 사용자로 제공된 구성과 함께 즉시 실행됩니다. 사용자 정의 Go 플러그인에 대해 벤더가 요구하는 문서화된 동적으로 링크된 빌드(DYNAMIC=1 / 정적 링크 플래그 없음)에서는 plugin.Open의 성공이 예상되며, 이는 인증되지 않은 원격 코드 실행(RCE)입니다. 공개된 정적 링크 Docker 이미지에서는 plugin.Open이 "Dynamic loading not supported"로 실패하므로 해당 빌드 클래스는 서버 측 요청 위조(SSRF)에 불과합니다. 공격 복잡도는 높습니다. 왜냐하면 공격자는 기본 정적 이미지에 대해 RCE를 강제할 수 없으며, 로드 가능한 플러그인은 호스트 Go 버전, OS, 아키텍처 및 링크 방식과 일치해야 하기 때문입니다. 1.6.x HTTP 트랜스포트 라인(1.6.11 포함)에는 해당 수정 사항이 포함되어 있지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.