Una vulnerabilidad crítica en Bifrost, un gateway de IA de código abierto que gestiona solicitudes a más de 20 proveedores de LLM, permite a un atacante no autenticado ejecutar comandos arbitrarios en el servidor del gateway con una única solicitud HTTP. La falla, identificada como CVE-2026-90898 (con un puntaje CVSS de 9.8), afecta a todas las versiones del transporte HTTP de Bifrost anteriores a la 2.1.0 cuando la autenticación de gestión está desactivada, que es la configuración predeterminada.
Yuval Moravchick de JFrog Security Research, quien descubrió la vulnerabilidad, indicó que un atacante puede registrar un cliente MCP de tipo stdio a través de un único POST no autenticado en el endpoint de la API de gestión /api/mcp/client. Bifrost inicia el comando especificado de inmediato, antes de cualquier apretón de manos de MCP, como el usuario del proceso del gateway.
El binario de Bifrost vincula la API de gestión a localhost por defecto, lo que limita la exposición a la máquina local. Sin embargo, la imagen oficial de Docker vincula a 0.0.0.0, lo que permite que la API de gestión sea accesible desde fuera del contenedor si se publica el puerto. Se recomienda a los operadores actualizar a transports/v2.1.0, que devuelve un error 403 cuando un llamador no autenticado intenta registrar un cliente MCP stdio.
Qué significa para su organización
Las organizaciones que utilizan Bifrost deben revisar sus configuraciones de seguridad, especialmente aquellas que operan con versiones anteriores a la 2.1.0 y tienen la API de gestión expuesta. Es crucial verificar si la autenticación está habilitada y, si no es así, implementar credenciales fuertes y restringir el acceso a redes no confiables.
Además, se debe considerar la posibilidad de que cualquier instancia que haya funcionado con la autenticación desactivada y la API de gestión expuesta esté comprometida. En tal caso, es recomendable rotar las claves virtuales y las claves de API de los proveedores para mitigar el riesgo de acceso no autorizado a datos sensibles.
