🇰🇷 한글 설명
Bifrost HTTP transport 2.0.0 미만 버전에서 관리 인증이 비활성화된 경우, 인증되지 않은 사용자가 HTTP URL을 통해 악성 플러그인을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 동적 링크 방식으로 빌드된 시스템에서는 공격자가 제공한 코드가 서버 권한으로 즉시 실행되지만, 정적 링크된 Docker 이미지에서는 SSRF로 제한됩니다.
💡 쉬운 설명
해커가 인증 없이 서버에 가짜 기능을 설치하여 서버를 마음대로 조종할 수 있는 보안 결함입니다. 다만, 서버가 만들어진 방식에 따라 실제 조종이 가능할 수도 있고 단순한 공격 시도에 그칠 수도 있습니다.
🇺🇸 원문 (English)
Bifrost HTTP transport before 2.0.0 accepts an enabled custom plugin whose path is an HTTP URL through unauthenticated POST /api/plugins when management authentication is disabled (the default, governance.auth_config.is_enabled=false). The shared-object loader treats an http-prefixed path as a download URL, writes the body to a temporary .so, and passes it to Go's plugin.Open. After a successful open, optional Init runs immediately with the supplied config as the Bifrost process user. On documented dynamically linked builds (DYNAMIC=1 / no static-link flags), which the vendor requires for custom Go plugins, plugin.Open is expected to succeed and this is unauthenticated remote code execution. On the published statically linked Docker image, plugin.Open fails with Dynamic loading not supported, so that build class is only server-side request forgery. Attack complexity is High because the attacker cannot force RCE on the default static image and a loadable plugin must match the host Go version, OS, architecture, and linkage. The 1.6.x HTTP transport line through 1.6.11 does not contain the fix.
📍 영향받는 시스템
Bifrost HTTP transport 1.6.x (1.6.11 포함) 및 2.0.0 미만 버전
⚔️ 공격 벡터
인증이 비활성화된 상태에서 /api/plugins 경로로 악성 .so 파일이 포함된 HTTP URL을 POST 요청으로 전송
🛡️ 대응 방법
Bifrost HTTP transport를 2.0.0 이상 버전으로 업데이트하거나 관리 인증(governance.auth_config.is_enabled)을 활성화하십시오.
🔧 검증 코드
현재 실행 중인 Bifrost의 버전을 확인하여 2.0.0 미만인지, 그리고 1.6.x 버전대인지 확인하십시오.
curl -s http://<target_ip>:<port>/api/plugins | grep -i 'version' || echo 'Check Bifrost version manually'