Technology newsroom
ช่องโหว่ร้ายแรง Bifrost AI Gateway! แฮกเกอร์รันคำสั่งบนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน 😱
พบช่องโหว่ระดับ Critical (CVSS 9.8) ใน Bifrost AI Gateway ทุกเวอร์ชันก่อน 2.1.0 ทำให้แฮกเกอร์สามารถรันคำสั่งบนเซิร์ฟเวอร์ได้จากระยะไกลโดยไม่ต้องยืนยันตัวตน แนะผู้ใช้ควรอัปเดตโดยด่วน
📌 สรุปประเด็นสำคัญ:
- พบช่องโหว่ระดับ Critical รหัส CVE-2026-90898 ใน Bifrost AI Gateway ด้วยคะแนนความรุนแรงสูงถึง 9.8
- ผู้โจมตีจากระยะไกลสามารถสั่งรันโค้ดหรือคำสั่งใดๆ ก็ได้บนเซิร์ฟเวอร์ (RCE) โดยที่ไม่ต้องมีรหัสผ่านหรือผ่านการยืนยันตัวตน
- กระทบ Bifrost ทุกเวอร์ชันก่อนหน้า 2.1.0 และแนะนำให้อัปเดตโดยด่วนเพื่อปิดความเสี่ยง
แจ้งเตือนด่วนสำหรับผู้ดูแลระบบและนักพัฒนาที่ใช้งาน Bifrost ซึ่งเป็น AI Gateway แบบโอเพนซอร์สที่ทำหน้าที่เป็นตัวกลางในการส่งคำขอไปยังผู้ให้บริการโมเดลภาษาขนาดใหญ่ (LLM) กว่า 20 ราย ได้มีการค้นพบช่องโหว่ด้านความปลอดภัยที่ร้ายแรงอย่างยิ่ง
ช่องโหว่ดังกล่าวถูกติดตามภายใต้รหัส CVE-2026-90898 ได้รับการประเมินความรุนแรงในระดับ Critical ด้วยคะแนน CVSS สูงถึง 9.8 เต็ม 10 ซึ่งสะท้อนถึงความอันตรายของมันได้เป็นอย่างดี ข้อผิดพลาดนี้เปิดโอกาสให้ผู้ไม่หวังดีสามารถส่งคำสั่งที่เป็นอันตรายไปยังเซิร์ฟเวอร์ที่ติดตั้ง Bifrost ได้จากระยะไกล และที่น่ากังวลที่สุดคือ ผู้โจมตีไม่จำเป็นต้องมีข้อมูลยืนยันตัวตนใดๆ เลย
🚨 กลไกการโจมตีและผลกระทบ
การโจมตีสามารถทำได้สำเร็จผ่านการส่ง HTTP request ที่ถูกสร้างขึ้นมาเป็นพิเศษเพียงครั้งเดียวเท่านั้น เมื่อเซิร์ฟเวอร์ Bifrost ได้รับคำขอดังกล่าว ก็จะประมวลผลคำสั่งที่แฝงมาด้วยทันที ทำให้แฮกเกอร์สามารถเข้าควบคุมเซิร์ฟเวอร์ได้อย่างสมบูรณ์ ไม่ว่าจะเป็นการขโมยข้อมูลสำคัญ, ติดตั้งมัลแวร์, หรือใช้เซิร์ฟเวอร์เป็นฐานในการโจมตีระบบอื่นต่อไป โดยช่องโหว่นี้จะส่งผลกระทบกับ Bifrost ทุกเวอร์ชันก่อนหน้า 2.1.0 ที่มีการเปิดใช้งานฟีเจอร์ Management Authentication
🛡️ การป้องกันและแก้ไข
ทางผู้พัฒนา Bifrost ได้ออกแพตช์แก้ไขในเวอร์ชัน 2.1.0 เป็นที่เรียบร้อยแล้ว ดังนั้นจึงขอแนะนำให้ผู้ดูแลระบบที่ใช้งาน Bifrost ทุกท่าน ตรวจสอบเวอร์ชันของตนเองและทำการอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด เพื่อปิดช่องทางการโจมตีและป้องกันความเสียหายที่อาจเกิดขึ้นกับระบบและข้อมูลขององค์กร
💬 ในองค์กรของคุณมีการใช้ AI Gateway เพื่อเชื่อมต่อกับบริการ LLM หรือไม่ และมีมาตรการตรวจสอบช่องโหว่ของเครื่องมือเหล่านี้กันอย่างไรบ้างครับ?