1. 墨知首页
  2. 漏洞

MLflow <2.9.2 任意文件读取漏洞（is_local_uri绕过） (CVE-2023-6977)

• 漏洞
漏洞类型 路径遍历 发现时间 2023-12-21 漏洞等级 严重
MPS编号 MPS-06sl-jy9a CVE编号 CVE-2023-6977 漏洞影响广度 一般
目录 隐藏
1 漏洞危害
2 影响范围及处置方案
2.1 OSCS 平台影响范围和处置方案
3 排查方式

漏洞危害

OSCS 描述
MLflow 是用于机器学习全生命周期管理的开源工具。
在MLflow 参考链接：https://www.oscs1024.com/hd/MPS-06sl-jy9a

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
mlflow (-∞, 2.9.2) 升级 将组件 mlflow 升级至 2.9.2 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-06sl-jy9a

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html
方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-06sl-jy9a

https://nvd.nist.gov/vuln/detail/CVE-2023-6977

https://github.com/mlflow/mlflow/commit/4bd7f27c810ba7487d53ed5ef1038fca0f8dc28c

https://huntr.com/bounties/fe53bf71-3687-4711-90df-c26172880aaf

赞 (0)
上一篇 2023年12月22日 下午12:00
下一篇 2023年12月26日 下午12:00

相关推荐