Yuxi 샌드박스 격리 결함으로 다른 사용자 데이터 접근 및 내부 서비스 장악 가능
AI 지식 베이스 도구에서 다른 사용자의 파일과 비밀번호가 털릴 수 있습니다!
요약
Yuxi의 Docker 샌드박스가 신뢰된 애플리케이션 서비스와 제대로 분리되지 않아, 인증된 낮은 권한 사용자가 다른 사용자의 파일과 비밀 정보에 접근하거나 명령을 실행할 수 있습니다. 0.6.0.beta1부터 0.7.1 이전 버전이 해당합니다.
해당 조건
- PostgreSQL, Neo4j, MinIO의 기본 서비스 자격 증명이 변경되지 않은 경우
- 노출된 PostgreSQL 계정이 슈퍼유저인 경우
대처법
0.7.1로 업데이트하세요. 업데이트 후에도 이전에 기본값으로 설정된 PostgreSQL, Neo4j, MinIO 자격 증명은 따로 바꿔야 합니다.
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인