Ssylka

Как низкопривилегированный пользователь может захватить всю гибридную облачную инфраструктуру?

В платформе Red Hat OpenShift AI обнаружена уязвимость повышения привилегий, получившая идентификатор CVE-2025-10725. Она позволяет аутентифицированному пользователю с минимальными правами получить полный административный контроль над всем кластером, что ведет к полной компрометации данных и сервисов.
Как низкопривилегированный пользователь может захватить всю гибридную облачную инфраструктуру?
Изображение носит иллюстративный характер

Проблема затрагивает Red Hat OpenShift AI (RHOAI) версии 2.21. Эта платформа предназначена для управления жизненным циклом предиктивных и генеративных моделей искусственного интеллекта (GenAI). Она обеспечивает сбор и подготовку данных, обучение моделей, их развертывание, мониторинг и аппаратное ускорение в масштабируемых гибридных облачных средах.

Уязвимости присвоен рейтинг 9.9 из 10.0 по шкале CVSS, что соответствует критическому уровню опасности. Однако сама компания Red Hat классифицировала ее как «Важную» (Important), а не «Критическую». Такое решение объясняется тем, что для эксплуатации злоумышленник уже должен быть аутентифицирован в системе, что снижает практическую опасность по сравнению с уязвимостями, доступными неаутентифицированным пользователям.

Типичный сценарий атаки предполагает, что низкопривилегированный пользователь, например, дата-сайентист, работающий в стандартном Jupyter-ноутбуке, использует уязвимость для эскалации своих прав. В результате он получает полномочия полного администратора кластера.

Последствия успешной атаки приводят к полной компрометации системы. Злоумышленник получает возможность нарушить все три принципа информационной безопасности: конфиденциальность, целостность и доступность. Это включает в себя кражу конфиденциальных данных, нарушение работы всех сервисов, работающих на платформе, и получение полного контроля над базовой инфраструктурой.

Итогом такого взлома является тотальная компрометация не только самой платформы RHOAI, но и всех приложений, которые на ней размещены. Это ставит под угрозу всю экосистему, построенную на базе данного решения.

Компания Red Hat выпустила официальное уведомление, в котором рекомендует придерживаться принципа наименьших привилегий для минимизации рисков. Это фундаментальный подход к безопасности, который ограничивает права доступа пользователей только теми ресурсами, которые абсолютно необходимы для выполнения их задач.

В качестве конкретных мер mitigacji рекомендуется избегать предоставления широких разрешений системным группам. Особенно важно избегать использования привязки ClusterRoleBinding, которая ассоциирует роль kueue-batch-user-role с общей группой system:authenticated.

Такая конфигурация по умолчанию предоставляет всем аутентифицированным пользователям неоправданно высокие привилегии, создавая вектор для атаки. Разрешение на создание заданий (jobs) должно выдаваться гранулярно, то есть только конкретным пользователям или группам по мере необходимости, а не всем подряд.


Новое на сайте

18322Хранят ли два священных острова в ядовито-зеленом озере мумии древних императоров? 18321Что может рассказать пепел сгоревшей таверны XIX века? 18320Возможно ли создать универсальный донорский орган, изменив его группу крови? 18319Какие пять уязвимостей от Oracle до Apple стали оружием в руках хакеров? 18318Что может рассказать забытый соперник Рима о его истинном облике? 18317Почему оптическая иллюзия обманывает рыб, но не горлиц? 18316Эффект домино в облаке: как один сбой Amazon парализовал интернет 18315Непреодолимый энергетический барьер человеческого тела 18314Воздушный перегон в Бэдлендс: как вертолеты сохраняют популяцию бизонов 18313Бразильская спам-империя в магазине Google Chrome 18312Чистка рая: война Лос-Анджелеса против белых безработных 18311Архитектура страха: научное объяснение призраков и проклятых мест 18310Может ли копирование кода с веб-страницы обойти все ваши системы защиты? 18309Выжившие из Помпеи: как историк отследил беженцев Везувия 18308Куда исчезли тысячи жителей Помпей и Геркуланума?