CVE-2026-55245
Açıklama
Bifrost, istekleri model sağlayıcılarına yönlendirmek için kullanılan kurumsal bir AI gateway'dir. 1.5.17 sürümünden önce, Bedrock ve Vertex görsel veya belge URL'leri için FetchAndEncodeURL üzerinden erişilen core/providers/utils/fetch.go dosyasındaki isPublicIP fonksiyonu; Carrier-Grade NAT 100.64.0.0/10, IPv6 6to4 2002::/16, NAT64 64:ff9b::/96 ve 64:ff9b:1::/48 ile kullanımdan kaldırılmış IPv6 site-local fec0::/10 adreslerini genel (public) olarak sınıflandırmaktadır. Çok modlu (multimodal) bir istek URL'sini kontrol eden uzaktan bir saldırgan, gateway'in 6to4 veya NAT64 aracılığıyla kodlanmış bulut örneği meta veri uç noktası da dahil olmak üzere dahili servisleri çekmesini sağlayabilir. Bu sorun 1.5.17 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/maximhq/bifrost/core1.5.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/maximhq/bifrost/coreGo | v < 1.5.17 | 1.5.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.