Bifrost AI 网关严重漏洞让攻击者无需凭据即可运行命令

开源 AI 网关 Bifrost 可将请求路由到 20 多个 LLM 提供商，其中的一个严重漏洞允许未经认证的攻击者通过单个 HTTP 请求在网关服务器上运行任意命令。

该漏洞编号为 CVE-2026-90898（CVSS 评分：9.8），影响 2.1.0 之前的所有 Bifrost HTTP transport 版本（在管理认证被禁用时），而这正是默认配置。修复已在 transports/v2.1.0 中提供。

发现该漏洞的 JFrog Security Research 的 Yuval Moravchick 表示，攻击者可以通过对管理 API 端点 /api/mcp/client 发送一个未经认证的 POST 请求，注册一个 stdio 类型的 MCP 客户端。Bifrost 会在任何 MCP 握手之前立即启动指定的命令，以网关进程用户的身份运行。

在官方 Docker 镜像上，该用户为 appuser。由于网关为每个已连接的提供商存储 API 密钥，在网关进程上执行命令会让攻击者获得对这些凭据的访问权限。

原生的 Bifrost 二进制文件默认将管理 API 绑定到 localhost，这将暴露范围限制在本机。官方 Docker 镜像则绑定到 0.0.0.0，如果端口被发布，管理 API 就可以从容器外部访问。

运营者应升级到 transports/v2.1.0，该版本会在未经认证的调用者尝试注册 stdio MCP 客户端时返回 403。无法立即升级的用户应将 governance.auth_config.is_enabled 设为 true，使用强凭据，并保持管理监听器远离不受信任的网络。

JFrog 建议将任何在认证禁用且管理 API 暴露的情况下运行过的实例视为已被入侵，并轮换虚拟密钥和提供商 API 密钥。

transports/v2.0.0 上的运营者仍然受到该 MCP 漏洞的影响。该版本仅修复了一个较早的插件漏洞，并未阻止未经认证的注册。1.6.x 系列至 1.6.11 则不包含任何一项修复。

同一研究团队的 Or Peles 发现的第二个相关漏洞已于 9 月 6 日披露。CVE-2026-86242（CVSS 评分：8.1）允许未经认证的攻击者注册一个路径为 HTTP URL 的自定义插件。Bifrost 会下载该文件，将其写入为临时共享对象，并通过 Go 的 plugin.Open 函数加载它。

在动态链接构建版本（Bifrost 的自定义 Go 插件所需）上，插件会加载且其代码以网关进程用户的身份运行。在静态链接构建版本（包括官方 Docker 镜像）上，plugin.Open 会失败，其结果仅为服务器端请求伪造 (SSRF)。修复位于 transports/v2.0.0。

这两个漏洞共享同一根本原因：Bifrost 的管理 API 出厂时认证默认禁用。它们是该项目在不到一个月内披露的第二和第三个安全问题，此前 8 月下旬修复了一个无关的 SSRF 漏洞 (CVE-2026-55245)。

该 MCP 漏洞遵循了一种已导致真实世界攻击的模式。2026 年 4 月，研究人员披露了 MCP 的 STDIO transport 中一个影响 Anthropic 官方 SDK 的设计缺陷。另一个 AI 网关 LiteLLM 中的一个类似的命令注入漏洞曾被积极利用，并于 6 月被加入 CISA 的已知被利用漏洞目录。

截至发布时，这两个 Bifrost CVE 均未出现在 KEV 目录中。