Platform
kubernetes
Component
polyaxon/polyaxon
CVE-2024-9363 beschrijft een denial-of-service kwetsbaarheid in Polyaxon, een platform voor machine learning. Een kwaadwillende actor kan, zonder authenticatie, bestanden binnen containers verwijderen, wat leidt tot het stoppen van cruciale containers en verstoring van de werking van het systeem. Deze kwetsbaarheid treft versies van Polyaxon tot en met de laatste beschikbare versie. Een fix is beschikbaar in de meest recente versie van Polyaxon.
Deze kwetsbaarheid stelt een aanvaller in staat om denial-of-service aanvallen uit te voeren op Polyaxon-omgevingen. Door het verwijderen van essentiële bestanden, zoals polyaxon.sock, kan de API-container worden gedwongen om onverwacht te stoppen. Dit resulteert in een verstoring van gerelateerde diensten en verhindert de normale werking van het platform. Omdat authenticatie niet vereist is, kan de aanval relatief eenvoudig worden uitgevoerd. De impact is aanzienlijk, aangezien het platform onbruikbaar kan worden gemaakt, wat de machine learning workflows en de bijbehorende dataverwerking ernstig kan belemmeren.
Deze kwetsbaarheid is publiekelijk bekend sinds 2025-03-20. Er zijn momenteel geen publieke proof-of-concept exploits beschikbaar, maar de eenvoud van de aanval maakt het waarschijnlijk dat er in de toekomst wel zullen verschijnen. De KEV status is momenteel onbekend. Er zijn geen actieve campagnes bekend die deze kwetsbaarheid uitbuiten, maar de lage drempel voor exploitatie vereist waakzaamheid.
Organizations heavily reliant on Polyaxon for machine learning orchestration and deployment are at significant risk. Specifically, deployments with overly permissive Kubernetes RBAC configurations or those lacking robust container security practices are particularly vulnerable. Shared Kubernetes clusters hosting multiple Polyaxon instances should be prioritized for patching.
• kubernetes / container:
kubectl get pods -n <namespace> -l app=polyaxon -o jsonpath='{.items[*].status.containerStatuses[*].name}'• kubernetes / container:
kubectl exec -it <pod-name> -n <namespace> -- ps -ef | grep polyaxon• kubernetes / container: Monitor Kubernetes audit logs for unusual file deletion events within Polyaxon containers. • kubernetes / container: Implement a container security policy that restricts file system access for Polyaxon containers.
disclosure
Exploit Status
EPSS
0.49% (66% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2024-9363 is het upgraden naar de meest recente versie van Polyaxon, waar deze kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van restricties op bestandstoegang binnen de containers. Dit kan worden bereikt door middel van Kubernetes Network Policies of AppArmor profielen om te voorkomen dat onbevoegde processen kritieke bestanden kunnen verwijderen. Controleer ook de container configuratie om te verzekeren dat de juiste permissies zijn ingesteld. Na de upgrade, verifieer de werking van de API container door een eenvoudige API request te sturen.
Actualice Polyaxon a la última versión disponible. Esto debería incluir la corrección para la vulnerabilidad de eliminación de archivos no autorizada. Consulte las notas de la versión para obtener más detalles sobre la actualización.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-9363 is a HIGH severity vulnerability in Polyaxon allowing unauthorized file deletion within containers, leading to denial of service. It affects all versions up to the latest.
If you are using Polyaxon up to the latest version and have not upgraded, you are potentially affected. Assess your Kubernetes RBAC policies and container security practices.
Upgrade to a patched version of Polyaxon as soon as it becomes available. Until then, implement stricter RBAC and network policies.
While no public exploits are currently known, the vulnerability's simplicity suggests a potential for exploitation. Monitor security advisories.
Refer to the official Polyaxon security advisories and release notes on their website or GitHub repository for updates and patch information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.