漏洞预警 | MLflow路径遍历漏洞

admin 2024年5月25日00:50:08评论25 views字数 486阅读1分37秒阅读模式
0x00 漏洞编号
  • CVE-2024-3848

0x01 危险等级
  • 高危
0x02 漏洞概述

MLflow是一个简化机器学习开发的平台,包括跟踪实验、将代码打包为可重复运行以及共享和部署模型。

漏洞预警 | MLflow路径遍历漏洞

0x03 漏洞详情
CVE-2024-3848
漏洞类型:路径遍历
影响:获取敏感信息
简述:MLflow存在路径遍历漏洞,攻击者可以使用"#"等字符将恶意路径插入URL中,从而跳过验证。因此,攻击者在创建Experiment环境时将URL转换为文件系统路径,从而达到读取任意文件的目的,包括SSH和云密钥等敏感信息
0x04 影响版本
  • 2.9.2 <= MLflow < 2.12.1

0x05 POC

https://huntr.com/bounties/8d5aadaa-522f-4839-b41b-d7da362dd610
仅供安全研究与学习之用,若将工具做其他用途,由使用者承担全部法律及连带责任,作者及发布不承担任何法律及连带责任。

0x06 修复建议

目前官方已发布漏洞修复版本,建议用户升级到安全版本
https://mlflow.org/

原文始发于微信公众号(浅安安全):漏洞预警 | MLflow路径遍历漏洞

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年5月25日00:50:08
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   漏洞预警 | MLflow路径遍历漏洞http://cn-sec.com/archives/2768666.html

发表评论

匿名网友 填写信息