В системе Bifrost, открытом AI-шлюзе, который обрабатывает запросы более чем к 20 провайдерам больших языковых моделей (LLM), обнаружена критическая уязвимость. Эта уязвимость позволяет неаутентифицированным злоумышленникам выполнять произвольные команды на сервере шлюза всего лишь с помощью одного HTTP-запроса. Уязвимость, получившая идентификатор CVE-2026-90898 и оцененная по шкале CVSS на уровне 9.8, затрагивает все версии транспортного протокола Bifrost до 2.1.0, если не настроена аутентификация управления.

Эксперты по кибербезопасности предупреждают, что данная уязвимость может быть использована для получения полного контроля над сервером, что ставит под угрозу безопасность всех подключенных систем и данных. Злоумышленники могут воспользоваться этой уязвимостью для выполнения любых команд, что может привести к утечке конфиденциальной информации или повреждению данных.

Разработчики Bifrost уже работают над устранением проблемы и рекомендуют пользователям обновить свои системы до версии 2.1.0 или выше, где данная уязвимость была исправлена. Важно отметить, что в условиях, когда управление не защищено аутентификацией, система остается уязвимой к атакам.

Специалисты советуют также провести аудит безопасности и проверить настройки аутентификации на всех серверах, использующих Bifrost, чтобы минимизировать риски. Пользователи должны быть особенно внимательны к своим системам, учитывая высокую степень уязвимости.

Этот инцидент подчеркивает необходимость регулярного обновления программного обеспечения и применения лучших практик в области кибербезопасности. Уязвимости, подобные CVE-2026-90898, могут иметь серьезные последствия, если их не устранить своевременно.

Источник новости:
The Hacker News

Читать полностью