オープンソースのAIエージェント編成プラットフォーム「Ruflo」において、未認証のリモートコード実行(RCE)を可能にする重大な脆弱性が公表され、数千件に上る導入環境がシステム全体の侵害にさらされていることが分かりました。
CVE-2026-59726として追跡され「RufRoot」と名付けられたこの脆弱性は、CVSSスコアの最大値である10.0を記録しており、Ruflo のMCP Bridgeコンポーネントに影響します。同コンポーネントは、機密性の高いツール実行エンドポイントに対する認証を実施していませんでした。
Noma Labsのセキュリティ研究者らは、Model Context Protocol (MCP)のツール呼び出しを処理するExpress.jsサーバーであるRufloのMCP Bridgeが、233個の内部ツールを認証なしでHTTP経由に公開していることを特定しました。
これらのツールには、シェル実行、データベースアクセス、エージェント編成、永続的メモリ管理などの機能が含まれており、MCP Bridgeは事実上このプラットフォームの中枢制御プレーンとなっています。
Rufloは、マルチエージェントの「スウォーム」を編成し、長期記憶を統合し、MCPツールを通じて実際のアクションを実行できることから、エージェント型AIワークフロー構築のために広く採用されており、企業導入も急速に進んでいます。
しかし、このようにシステムと深く統合されているからこそ、中核インターフェースが保護なしに公開されると重大なセキュリティリスクが生じます。
この脆弱性は、MCP Bridgeがデフォルトですべてのネットワークインターフェース(0.0.0.0)にバインドされることに起因しており、自己ホスト型の導入環境では通常ポート3001が公開状態になります。
このような構成では、/mcpエンドポイントに対して未認証のHTTP POSTリクエストを1回送信するだけで、攻撃者は任意のツールを呼び出すことができます。特に、ruflo__terminal_execute関数を使うと、コンテナ環境内で直接シェルコマンドを実行できてしまいます。
Eli Ainhorn氏が実証したところによると、細工されたJSON-RPCリクエストを使えば、APIキーやトークン、IP制限を一切必要とせずに、id、hostnameといったシステム列挙コマンドを実行できることが確認されています。
Rufloにはオートパイロットモード向けのコマンドブロックリストが用意されているものの、MCPエンドポイントに直接アクセスした場合、この保護は完全に迂回されてしまいます。
悪用の影響は初期アクセスにとどまりません。Noma Labsは、環境全体の完全な侵害を示すエンドツーエンドの概念実証(PoC)チェーンを開発しました。
攻撃者は利用可能なツールを列挙し、コマンドを実行し、機密性の高い環境変数(LLMのAPIキーを含む)を窃取し、盗んだ認証情報を使ってエージェントインフラを武器化することが可能です。
このプラットフォームのアーキテクチャでは、攻撃者が悪意のあるエージェントスウォームを生成したり、長期記憶ストアを汚染したり、将来AIが生成する出力を操作したりすることも可能になります。
さらに、内部Dockerネットワーク上で認証なしに稼働しているMongoDBインスタンスへの不正アクセスも可能になり、攻撃者は会話履歴やメタデータを窃取できてしまいます。
永続性の確保についても、書き込み可能なコンテナディレクトリ内に悪意のあるスクリプトを書き込み、Dockerの再起動ポリシーを悪用することで、再起動をまたいで実行を維持することが可能です。
この脆弱性は、開発者が一元的なセキュリティ管理なしにRufloインスタンスを展開してしまう「シャドーAI」のシナリオにおいて、特に危険性が高くなります。
デフォルトのDocker Compose構成では、意図せず重要なサービスがインターネットに公開されてしまう場合があり、セグメント分離が不十分な環境では悪用が容易になります。責任ある開示の後、Rufloの開発チームは数時間以内に包括的なパッチをリリースしました。
セキュリティ面の改善としては、デフォルトでのループバックバインドの強制、ベアラートークン認証の導入、明示的に有効化しない限りターミナル実行を無効化、MongoDB認証の必須化、より厳格なコンテナ分離とCORSポリシーの実装などが挙げられます。
ユーザーには、ポート3001および27017へのアクセスを直ちに制限し、公開されていたすべてのAPIキーをローテーションし、メモリストアの汚染有無を監査した上で、パッチ適用済みバージョンを再展開することが強く推奨されます。
このプラットフォームが機密データへのアクセス権や実行機能を持つことを踏まえると、外部に公開されていたインスタンスはすべて完全に侵害されたものとして扱うべきです。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への影響を削減できます。
翻訳元: https://cyberpress.org/critical-ruflo-mcp-bridge-flaw/