MLflow < 2.10.0 任意文件读取漏洞(is_local_uri绕过) (CVE-2024-3573)

漏洞类型 路径遍历 发现时间 2024-04-16 漏洞等级 严重
MPS编号 MPS-18es-qbvo CVE编号 CVE-2024-3573 漏洞影响广度

漏洞危害

OSCS 描述
MLflow 是用于机器学习全生命周期管理的开源工具。
在MLflow 参考链接:https://www.oscs1024.com/hd/MPS-18es-qbvo

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
mlflow (-∞, 2.10.0) 升级 升级mlflow到 2.10.0 或更高版本
参考链接:https://www.oscs1024.com/hd/MPS-18es-qbvo

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-18es-qbvo

https://nvd.nist.gov/vuln/detail/CVE-2024-3573

https://github.com/mlflow/mlflow/commit/438a450714a3ca06285eeea34bdc6cf79d7f6cbc

https://huntr.com/bounties/8ea058a7-4ef8-4baf-9198-bc0147fc543c

(0)
上一篇 2024年4月22日
下一篇 2024年4月24日

相关推荐

  • IoTDB 存在远程代码执行漏洞 (CVE-2023-46226)

    漏洞类型 表达式语言注入 发现时间 2024-01-15 漏洞等级 中危 MPS编号 MPS-c4ml-t1ka CVE编号 CVE-2023-46226 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache IoTDB是时序数据的数据管理系统,为用户提供数据采集、存储、分析等特定服务。JEXL是一个表达式语言引擎,全称是Java表达式语言(Java …

    2024年1月17日
    0
  • Cacti<1.2.25 权限升级漏洞 (CVE-2023-31132)

    漏洞类型 关键功能的认证机制缺失 发现时间 2023-09-06 漏洞等级 高危 MPS编号 MPS-j24s-h9mc CVE编号 CVE-2023-31132 漏洞影响广度 小 漏洞危害 OSCS 描述 Cacti 是一个开源的操作监控和故障管理框架。 由于受影响版本的 Cacti 允许在 Web 目录中创建和执行 PHP 文件,当 Windows 系统…

    2023年9月11日
    0
  • Apache Superset<2.1.1 远程代码执行漏洞 (CVE-2023-37941)

    漏洞类型 反序列化 发现时间 2023-09-06 漏洞等级 高危 MPS编号 MPS-tu89-c6xs CVE编号 CVE-2023-37941 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个开源的数据可视化工具,metadata 数据库用于存储 Superset 元数据(如配置信息)。Python 的 pickle …

    2023年9月9日
    0
  • Apache Tomcat 信息泄露漏洞 (CVE-2024-21733)

    漏洞类型 通过错误消息导致的信息暴露 发现时间 2024-01-19 漏洞等级 中危 MPS编号 MPS-9yx0-38v1 CVE编号 CVE-2024-21733 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Tomcat是一个开源Java Servlet容器和Web服务器,用于运行Java应用程序和动态网页。Coyote是Tomcat的连…

    2024年1月21日
    0
  • Apache HugeGraph-Server<1.3.0 Gremlin命令执行漏洞 (CVE-2024-27348)

    漏洞类型 代码注入 发现时间 2024-04-22 漏洞等级 中危 MPS编号 MPS-5hs6-vtei CVE编号 CVE-2024-27348 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache HugeGraph-Server 是一个开源大规模图数据库管理系统。Gremlin 用于在图数据库上进行数据查询和操作。 由于1.0.0到1.3.0版本…

    漏洞 2024年4月24日
    0