AI API түлхүүрүүдээ яаралтай шалга: Bifrost AI Gateway-д 9.8 үнэлгээтэй ноцтой RCE цоорхой илэрлээ

Орчин үеийн программ хангамж хөгжүүлэлтэд байгууллагууд олон тооны хиймэл оюуны загваруудыг (LLM) зэрэг ашиглах болсон. OpenAI, Anthropic, Google, нээлттэй эхийн загваруудыг нэг цэгээс удирдах, зардлыг хянах, квот тогтоох зорилгоор AI Gateway архитектурыг түгээмэл нэвтрүүлж байна.

Гэвч бүх нууц түлхүүрийг нэг төвлөрсөн цэгт цуглуулах нь халдагчдын хувьд хамгийн өгөөжтэй бай болж хувирдгийг шинэ үйл явдал тод санууллаа. 20 гаруй LLM үйлчилгээ үзүүлэгчийг нэгтгэн чиглүүлдэг нээлттэй эхийн алдартай төсөл болох Bifrost дээр CVSS 9.8 буюу "Critical" үнэлгээтэй, алсын зайнаас дурын код ажиллуулах (RCE) ноцтой цоорхой (CVE-2026-90898) илэрлээ.

Цоорхой юунд байв? Model Context Protocol (MCP) ба Stdio

Энэхүү эмзэг байдлыг JFrog Security Research-ийн кибер аюулгүй байдлын судлаач Ювал Моравчик (Yuval Moravchick) илрүүлэн тайлагнажээ. Асуудлын гол үндэс нь Bifrost системийн сүүлийн үед нэмсэн Anthropic-ийн Model Context Protocol (MCP) дэмжлэг болон түүний анхдагч (default) тохиргоонд оршиж байв.

Bifrost нь хөгжүүлэгчдэд MCP клиентүүдийг удирдлагын REST API (/api/mcp/client) ашиглан динамикаар бүртгэх боломж олгодог. Хэрэв MCP клиентийн төрлийг stdio гэж зааж өгвөл уг протоколын дагуу систем локал программ буюу коммандыг subprocess хэлбэрээр ажиллуулж, стандарт оролт/гаралтыг холбох ёстой байдаг.

Харин Bifrost дараах хоёр ноцтой алдааг зэрэг гаргажээ:

1. Баталгаажуулалтгүй шууд гүйцэтгэл: Халдагч /api/mcp/client рүү ганцхан POST хүсэлт илгээж, хүссэн системийн коммандаа (argument-уудын хамт) дамжуулахад Bifrost ямар нэгэн MCP handshake эсвэл зөвшөөрлийн шалгалт хийлгүйгээр, хүсэлт ирмэгц уг коммандыг үйлдлийн системийн түвшинд шууд ажиллуулж байв.
2. Аюултай анхдагч тохиргоо (Default Config): Системийн үндсэн тохиргоон дээр governance.auth_config.is_enabled параметер нь false буюу идэвхгүй утгатай ирдэг байжээ. Энэ нь менежментийн API-д хандсан ямар ч сүлжээний хүсэлт админ түвшний эрхтэй адил тооцогдоно гэсэн үг юм.

Үүн дээр нэмээд Bifrost-ийн албан ёсны Docker image нь менежментийн портыг зөвхөн localhost бус 0.0.0.0 хаягт холбосон (bind) тул уг контейнерийн порт нийтийн интернетэд нээгдсэн тохиолдолд халдагчид ямар ч саадгүйгээр серверийг ганцхан хүсэлтээр эзлэх нөхцөл бүрдсэн байна.

Халдагч юу хийж чадах вэ?

Уг комманд нь Docker орчинд appuser хэрэглэгчийн эрхээр ажиллах хэдий ч хамгийн аймшигтай хохирол нь үйлдлийн систем биш, харин тухайн санах ойд буй нууц түлхүүрүүд юм:

• Бүх LLM түлхүүрүүдийн алдагдал: Bifrost нь дундын прокси тул түүний тохиргооны файл, хүрээлэн буй орчны хувьсагч (env vars), кэш дотор OpenAI, Anthropic Claude, Google Gemini зэрэг бүх холбосон үйлчилгээнүүдийн өндөр үнэтэй master API түлхүүрүүд хадгалагддаг. Халдагч сервер дээр комманд ажиллуулж эдгээр түлхүүрийг секундийн дотор шүүж авч чадна.
• Байгууллагын нөөцийг хулгайлах: Хулгайлсан түлхүүрээр их хэмжээний батч боловсруулалт хийх, крипто майнинг модель ажиллуулах зэргээр сарын төлбөрийг хэдэн арван мянган ам.долларт хүргэх бодит аюултай.
• Цаашдын сүлжээний халдлага: Контейнер дотроос Kubernetes эсвэл байгууллагын дотоод VPC сүлжээ рүү чиглэсэн lateral movement халдлага үйлдэх боломж бүрдэнэ.

Хөгжүүлэгчид болон DevOps инженерүүд юу хийх ёстой вэ?

Хэрэв та өөрийн бүтээгдэхүүн, R&D эсвэл дотоод системдээ Bifrost ашиглаж байгаа бол дараах арга хэмжээг нэн яаралтай аваарай:

1. Хувилбараа шинэчлэх (Patch): Хөгжүүлэгчид уг цоорхойг зассан transports/v2.1.0 хувилбарыг яаралтай гаргасан. Шинэ хувилбар нь баталгаажуулалтгүй дуудлагаар stdio MCP бүртгэхийг хориглож, HTTP 403 Forbidden буцаадаг болсон.

2. Аутентикацийг албадан асаах: Шууд хувилбар ахиулах боломжгүй бол тохиргооны файлдаа governance.auth_config.is_enabled: true болгож, хатуу (хүчтэй) нууц үг эсвэл токен заавал тохируулах.

3. Сүлжээний хандалтыг тусгаарлах: Менежментийн API интерфейсийг гадаад интернетэд (0.0.0.0) хэзээ ч бүү нээлттэй орхи. Зөвхөн дотоод кластер эсвэл 127.0.0.1-д bind хийх хэрэгтэй.

4. Түлхүүрүүдээ хүчингүй болгож, шинэчлэх (Rotate Keys): JFrog-ийн судлаачдын зөвлөснөөр, хэрэв таны Bifrost серверийн менежмент порт өмнө нь интернетэд нээлттэй, аутентикацигүй ажиллаж байсан бол түүнийг "аль хэдийн халдлагад өртсөн" гэж үзэх нь зүйтэй. Иймд Bifrost дотор холбогдсон бүх LLM үйлчилгээ үзүүлэгчдийн (OpenAI, Anthropic гэх мэт) API түлхүүрүүдийг даруй хүчингүй болгож шинээр үүсгээрэй.

DEVX дүгнэлт

Бид AI аппликейшн хөгжүүлэхдээ модель сонголт, промптын нарийвчлал, агент архитектурт бүх анхаарлаа хандуулдаг ч уламжлалт сүлжээ болон дэд бүтцийн аюулгүй байдлыг мартчихдаг сул талтай. AI Gateway нь зүгээр нэг энгийн прокси биш, харин таны бүх нууц мэдээлэл төвлөрсөн "Security & Identity Boundary" юм. Анхдагч тохиргоонд сохроор найдалгүй, нээлттэй эхийн хэрэгслүүдийнхээ аюулгүй байдлын аудит, сүлжээний хязгаарлалтыг тогтмол шалгаж байхыг зөвлөж байна.

Эх сурвалж: The Hacker News, JFrog Security Research (CVE-2026-90898 Advisory).