Exclusão Não Autorizada de Arquivos em polyaxon/polyaxon

A principal consequência dessa vulnerabilidade é a negação de serviço (DoS). Um atacante pode explorar a falha para deletar arquivos cruciais dentro dos contêineres do Polyaxon, como o polyaxon.sock, que é essencial para a comunicação com a API. A exclusão desse arquivo força o contêiner da API a encerrar inesperadamente, interrompendo todos os serviços dependentes. A ausência de autenticação necessária para explorar a vulnerabilidade aumenta significativamente o risco, pois qualquer usuário com acesso ao cluster Kubernetes pode potencialmente causar a interrupção do serviço. Embora a descrição não mencione exploração em larga escala, a facilidade de exploração e o impacto direto na disponibilidade do serviço tornam essa vulnerabilidade uma preocupação significativa.

Organizations heavily reliant on Polyaxon for machine learning orchestration and deployment are at significant risk. Specifically, deployments with overly permissive Kubernetes RBAC configurations or those lacking robust container security practices are particularly vulnerable. Shared Kubernetes clusters hosting multiple Polyaxon instances should be prioritized for patching.

• kubernetes / container:

kubectl get pods -n <namespace> -l app=polyaxon -o jsonpath='{.items[*].status.containerStatuses[*].name}'

• kubernetes / container:

kubectl exec -it <pod-name> -n <namespace> -- ps -ef | grep polyaxon

• kubernetes / container: Monitor Kubernetes audit logs for unusual file deletion events within Polyaxon containers. • kubernetes / container: Implement a container security policy that restricts file system access for Polyaxon containers.

1. 2025-03-20Disclosure

   disclosure

1. Reservado2024-09-30
2. Publicada2025-03-20
3. EPSS atualizado2026-04-02

A mitigação primária é a atualização para a versão corrigida do Polyaxon, assim que disponível. Enquanto aguarda a atualização, algumas medidas paliativas podem ser implementadas. Restringir o acesso ao cluster Kubernetes, limitando quem pode interagir com os contêineres do Polyaxon, é fundamental. Implementar políticas de controle de acesso (RBAC) no Kubernetes para garantir que apenas usuários autorizados possam realizar operações de exclusão de arquivos. Monitorar logs do Kubernetes em busca de atividades suspeitas, como tentativas de exclusão de arquivos dentro dos contêineres do Polyaxon. Considere a implementação de um sistema de backup e restauração para os arquivos críticos, permitindo a recuperação rápida em caso de exclusão acidental ou maliciosa.