Polyaxonの最新バージョンにおいて、認証なしで重要なファイルを削除できる脆弱性が確認されました。この脆弱性を悪用されると、APIコンテナが異常終了し、関連サービスが停止する可能性があります。影響を受けるバージョンはPolyaxonの最新バージョンです。現在、ベンダーによる修正版のリリースが推奨されています。
この脆弱性は、攻撃者が認証なしでPolyaxonコンテナ内のファイルを削除できることを意味します。特に、polyaxon.sockのような重要なファイルが削除されると、APIコンテナが予期せず終了し、Polyaxonプラットフォーム全体の可用性に深刻な影響を及ぼします。攻撃者は、この脆弱性を悪用して、重要なワークフローを中断させたり、機密データを漏洩させたりする可能性があります。この脆弱性は、Kubernetes環境でPolyaxonを運用している組織にとって、特に深刻な脅威となります。
この脆弱性は、認証不要でファイル削除が可能であるため、悪用が容易であると考えられます。現時点では、公開されているPoCは確認されていませんが、攻撃者による悪用が懸念されます。CISAのKEVリストへの登録状況は不明です。NVD（National Vulnerability Database）への登録日は2025年3月20日です。
Organizations heavily reliant on Polyaxon for machine learning orchestration and deployment are at significant risk. Specifically, deployments with overly permissive Kubernetes RBAC configurations or those lacking robust container security practices are particularly vulnerable. Shared Kubernetes clusters hosting multiple Polyaxon instances should be prioritized for patching.
• kubernetes / container:
kubectl get pods -n <namespace> -l app=polyaxon -o jsonpath='{.items[*].status.containerStatuses[*].name}'• kubernetes / container:
kubectl exec -it <pod-name> -n <namespace> -- ps -ef | grep polyaxon• kubernetes / container: Monitor Kubernetes audit logs for unusual file deletion events within Polyaxon containers. • kubernetes / container: Implement a container security policy that restricts file system access for Polyaxon containers.
disclosure
エクスプロイト状況
EPSS
0.49% (66% パーセンタイル)
CISA SSVC
CVSS ベクトル
Polyaxonベンダーが提供する修正版へのアップグレードが最も効果的な対策です。修正版がリリースされるまでは、KubernetesのRBAC（Role-Based Access Control）設定を強化し、Polyaxonコンテナへのアクセスを厳格に制限することで、攻撃のリスクを軽減できます。また、WAF（Web Application Firewall）を導入し、不正なファイル削除リクエストを検知・ブロックすることも有効です。Polyaxonコンテナのログを監視し、異常なファイル削除アクティビティを早期に発見することも重要です。アップグレード後、コンテナの正常稼働状況とPolyaxon APIの応答性を確認してください。
Actualice Polyaxon a la última versión disponible. Esto debería incluir la corrección para la vulnerabilidad de eliminación de archivos no autorizada. Consulte las notas de la versión para obtener más detalles sobre la actualización.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-9363は、Polyaxonの最新バージョンにおける認証不要のファイル削除脆弱性です。攻撃者はこの脆弱性を悪用して、重要なファイルを削除し、サービス停止を引き起こす可能性があります。
Polyaxonの最新バージョンを使用している場合は、影響を受ける可能性があります。Polyaxonのバージョンを確認し、ベンダーが提供する修正版へのアップグレードを検討してください。
Polyaxonベンダーが提供する修正版へのアップグレードが最も効果的な対策です。アップグレードが困難な場合は、RBAC設定の強化やWAFの導入などの緩和策を検討してください。
現時点では、公開されているPoCは確認されていませんが、攻撃者による悪用が懸念されます。Polyaxonコンテナのログを監視し、異常なアクティビティを早期に発見することが重要です。
Polyaxonの公式アドバイザリは、PolyaxonのウェブサイトまたはGitHubリポジトリで確認できます。最新の情報については、Polyaxonのセキュリティチームにお問い合わせください。