무슨 일이 있었나
실행 가능한 Docker 샌드박스와 신뢰할 수 있는 애플리케이션 서비스 간의 불충분한 격리로 교차 테넌트 액세스가 가능합니다: 샌드박스 보유자는 다른 테넌트의 샌드박스를 열거하고 조작할 수 있으며, 인증되지 않은 프로비저너에 접근할 수 있고, 샌드박스는 공유 내부 서비스에 도달할 수 있습니다. 결과적으로 교차 테넌트 데이터 공개/수정, 샌드박스 상태 조작, 샌드박스 삭제를 통한 DoS가 발생하며, 컨테이너 탈출이나 커널 버그 없이, 기본 DB 자격 증명이 변경되지 않고 노출된 PostgreSQL 역할이 슈퍼유저인 경우 RCE로 확대됩니다.
왜 중요한가
이것은 AI 에이전트 개발 플랫폼에서의 다중 테넌트 격리 실패로, 테넌트가 상호 격리되어야 하는 샌드박스에서 코드를 실행합니다. 저권한 계정을 가진 공격자는 다른 테넌트의 에이전트 상태, 파일, 비밀 정보에 접근하고 공유 데이터베이스 서비스로 피벗할 수 있습니다 — 이는 AI/SaaS 다중 테넌트 배포가 의존하는 정확한 격리 경계입니다.
공격 경로
자신의 실행 가능한 Docker 샌드박스에서 명령을 실행할 수 있는 저권한 인증 사용자는 다른 테넌트의 샌드박스 API에 도달하고, 파일과 비밀 정보를 읽고, 활성 샌드박스에서 명령을 실행하며, 인증되지 않은 프로비저너를 통해 샌드박스를 열거/생성/삭제할 수 있습니다 — 관리자/데이터베이스/MinIO 자격 증명을 알 필요 없이. 샌드박스는 공유 내부 서비스에도 도달할 수 있습니다; 배포 시 기본 PostgreSQL/Neo4j/MinIO 자격 증명이 변경되지 않은 경우, 공격자가 이를 사용할 수 있고, PostgreSQL 계정이 슈퍼유저인 경우 PostgreSQL 컨테이너에서 명령 실행을 얻을 수 있습니다.
영향받는 시스템
Yuxi >= 0.6.0.beta1, < 0.7.1
완화 방안
Yuxi 0.7.1로 업그레이드. 별도로 이전에 문서화/배포된 기본값으로 설정된 PostgreSQL, Neo4j, MinIO 자격 증명을 교체하세요. Compose 파일 업그레이드는 자동으로 교체하지 않기 때문입니다.