Apa yang terjadi
Isolasi yang tidak memadai antara sandbox Docker yang dapat mengeksekusi dan layanan aplikasi tepercaya memungkinkan akses lintas-penyewa: pemegang sandbox dapat menghitung dan menggerakkan sandbox penyewa lain serta mengakses provisioner tanpa autentikasi, dan sandbox dapat menjangkau layanan internal bersama. Hasilnya adalah pengungkapan/modifikasi data lintas-penyewa, manipulasi status sandbox, dan DoS melalui penghapusan sandbox — semuanya tanpa pelarian kontainer atau bug kernel, dan meningkat menjadi RCE jika kredensial DB default tidak diubah dan peran PostgreSQL yang terbuka adalah superuser.
Mengapa penting
Ini adalah kegagalan isolasi multi-penyewa di platform pengembangan agen AI di mana penyewa mengeksekusi kode di sandbox yang seharusnya saling terisolasi. Penyerang dengan akun hak istimewa rendah mendapatkan akses ke status agen, file, dan rahasia penyewa lain, dan dapat berpindah ke layanan database bersama — batas isolasi yang tepat yang menjadi sandaran deployment multi-penyewa AI/SaaS.
Vektor serangan
Pengguna terautentikasi dengan hak istimewa rendah yang dapat mengeksekusi perintah di sandbox Docker yang dapat mengeksekusi miliknya sendiri dapat menjangkau API sandbox penyewa lain, membaca file dan rahasia mereka, mengeksekusi perintah di sandbox aktif, serta menghitung/membuat/menghapus sandbox melalui provisioner tanpa autentikasi — tanpa mengetahui kredensial admin/database/MinIO. Sandbox juga dapat menjangkau layanan internal bersama; jika kredensial default PostgreSQL/Neo4j/MinIO yang disertakan tetap tidak diubah, penyerang dapat menggunakannya dan, jika akun PostgreSQL adalah superuser, mendapatkan eksekusi perintah di kontainer PostgreSQL.
Sistem yang terdampak
Yuxi >= 0.6.0.beta1, < 0.7.1
Mitigasi
Tingkatkan ke Yuxi 0.7.1. Secara terpisah, putar kredensial PostgreSQL, Neo4j, dan MinIO yang tersimpan yang sebelumnya disetel ke nilai default yang didokumentasikan/disertakan, karena meningkatkan file Compose tidak memutarnya secara otomatis.