Odysseus устранила критическую RCE через планировщик задач
Разработчики AI-рабочего пространства Odysseus исправили критическую уязвимость удалённого выполнения команд с оценкой CVSS 9,9. Ошибка позволяла авторизованному пользователю без прав администратора запускать команды операционной системы с правами процесса Odysseus. Исправление выпущено в версии 1.0.2; Manifold Security не располагает сведениями об эксплуатации проблемы до выхода патча.
Как работала атака
Odysseus позиционируется как ориентированное на приватность рабочее пространство для взаимодействия с большими языковыми моделями. Исследователи установили, что для атаки было достаточно двух обычных API-запросов.
Злоумышленник мог передать в запланированную задачу действие shell, которое по замыслу продукта предназначалось только для администратора. После этого команда выполнялась с привилегиями процесса Odysseus, а не с ограничениями учётной записи пользователя.
Риск определялся не только возможностью запуска команды. Процесс приложения имеет доступ к данным и учётным данным сервиса: хешам пользовательских паролей, секретам TOTP, API-ключам провайдеров, базе данных и SSH-ключам, которые Odysseus использует для подключения к удалённым машинам.
Почему это важно для развёртываний AI-сервисов
На экземплярах с самостоятельной регистрацией или несколькими пользователями одна учётная запись могла стать точкой закрепления. По оценке Manifold Security, атакующий получал возможность использовать ключи API, почтовый доступ, SSH-ключи к управляемым машинам и планировщик для сохранения доступа.
Этот случай дополняет картину рисков в цепочках разработки: npm-цепочки, macOS LotL и SIM-фермы также показывали, как атаки используют доверие к пакетам и инструментам разработки. В Odysseus проблема возникла на пересечении API, планировщика и разграничения административных действий.
Что проверить организациям
Администраторам Odysseus следует обновить продукт до версии 1.0.2 и проверить, кто может создавать учётные записи и планировать задачи. Отдельного внимания требуют API-ключи, SSH-ключи и другие секреты, доступные процессу приложения.
Практический вывод для бизнеса: AI-рабочие пространства нужно рассматривать как системы с доступом к критичным секретам. Обновление, ограничение пользовательских прав и контроль функций планирования уменьшают последствия подобной ошибки.