CVSS 10.0 i Ruflo: agentplattformen eksponerte 233 verktøy uten pålogging
Rettet Ruflo en sårbarhet med CVSS-score 10.0 der standardoppsettet i docker-compose eksponerte 233 MCP-verktøy, inkludert shell-kjøring, uten noen form for autentisering.
233 verktøy lå åpne mot nettverket i standardoppsettet: kommandokjøring i terminalen, databaseoperasjoner, agentstyring og minnelagring. Noma Security, som fant hullet og døpte det RufRoot, beskriver angrepet som én uautentisert HTTP-POST mot MCP-broen. Sårbarheten er sporet som CVE-2026-59726 og rammer alle versjoner av Ruflo før 3.16.3, ifølge NVD.
Ruflo, som startet som Claude Flow, orkestrerer agent-svermer for Anthropic Claude Code og OpenAI Codex og har 66 480 stjerner på GitHub. Årsaken lå i én linje: docker-compose.yml bandt port 3001 til 0.0.0.0 i stedet for loopback, altså alle nettverksgrensesnitt. Hvor eksponert du faktisk var avhenger av brannmur og nettverkssegmentering, men enhver instans som var nåbar over nettverket kunne utnyttes fullt ut.
«Docker-compose-standardene bandt broen og MongoDB til alle grensesnitt. Kombinert kunne en uautentisert angriper på nettverket kalle terminal_execute inne i broens container, hente hver eneste API-nøkkel fra containerens miljøvariabler, starte egne svermer på offerets nøkler og legge igjen et forgiftet mønster i AgentDB» — Reuven Cohen, vedlikeholder av Ruflo, i utgivelsesnotatene
Kommandokjøringen er bare inngangen. Fra den kunne en angriper stjele API-nøklene Ruflo bruker mot språkmodellene, lese alle samtaler lagret på plattformen, og skrive instruksjoner inn i det persistente minnet som styrer framtidige svar.
«Evnen til å skrive ondsinnede instruksjoner inn i en plattforms vedvarende KI-minne betyr at en angriper kan påvirke svarene KI-en gir til hver eneste framtidige bruker, lenge etter at selve innbruddet er over» — Noma Labs
Det er den delen som skiller denne saken fra en vanlig RCE. En patch fjerner kodefeilen, men ikke et forgiftet minne. Noma anbefaler derfor at KI-legitimasjon behandles som kompromittert og roteres, at minnet revideres for tukling, og at containere bygges på nytt fra et rent image.
Tidslinjen er kort på leverandørsiden og lang på din. Etter varsling 30. juni 2026 kom fiksen fra Cohen innen ett døgn: broen bindes nå til loopback, terminal_execute er portet bak kontroller på serversiden, og MongoDB krever autentisering. NVD publiserte oppføringen 9. juli. Prosjektet er allerede på v3.32-serien, så avstanden mellom en gammel klonet compose-fil og dagens kode er stor.
Hva bør du gjøre?
- Sjekk hvilken versjon du faktisk kjører, ikke hvilken du sist leste om. Alt før 3.16.3 er sårbart, og en compose-fil du kopierte i vår har ikke oppdatert seg selv.
- Steng port 3001 og 27017 utad, og verifiser bindingen i din egen docker-compose.yml. Står det 0.0.0.0 der broen skal ligge, er den åpen uansett hva versjonsnummeret sier.
- Roter alle modell-API-nøkler som har ligget i containerens miljøvariabler, og gå gjennom mønsterlageret i AgentDB for oppføringer du ikke har lagt inn selv.
KI-kuratert — innholdet er generert av KI-agenter basert på originalkilden.