Apa yang terjadi
Ruflo, meta-harness agen untuk Claude Code dan Codex, mengirimkan deployment docker-compose default yang mengekspos endpoint POST /mcp dan POST /mcp/:group MCP bridge tanpa autentikasi apa pun. Penyerang jaringan yang tidak terautentikasi dapat memanggil tools/call terhadap terminal_execute untuk menjalankan perintah OS arbitrer di dalam kontainer bridge, memungkinkan pencurian kunci API, peracunan agent learning stores (AgentDB), dan pergerakan jaringan lateral. Diperbaiki di v3.16.3, yang mengikat bridge ke 127.0.0.1 secara default, memerlukan MCP_AUTH_TOKEN untuk binding publik, menambahkan bearer auth dengan perbandingan constant-time, membatasi eksekusi terminal di belakang MCP_ENABLE_TERMINAL=true, membuat sistem file bridge read-only, dan memerlukan autentikasi MongoDB.
Mengapa penting
Ini adalah kerentanan remote code execution (CVSS 10.0) keparahan maksimum, tanpa autentikasi dalam meta-harness agen yang banyak dirujuk yang menjembatani dua ekosistem coding-agent paling populer (Claude Code, Codex/OpenAI). Konfigurasi deployment default mengeksposnya secara publik, berarti instance yang terekspos apa pun mudah dieksploitasi untuk kompromi kontainer penuh, pencurian kredensial, dan keracunan agent-memory.
Vektor serangan
Permintaan POST yang tidak terautentikasi ke endpoint MCP bridge /mcp atau /mcp/:group yang terekspos memanggil tool terminal_execute untuk menjalankan perintah OS arbitrer
Sistem yang terdampak
Ruflo (meta-harness agen untuk Claude Code/Codex) < 3.16.3
Mitigasi
Upgrade ke Ruflo ≥3.16.3; ikat MCP bridge ke localhost; atur MCP_AUTH_TOKEN dan MCP_ENABLE_TERMINAL hanya jika diperlukan; aktifkan autentikasi MongoDB