MLflow <2.12.1 存在路径遍历漏洞 (CVE-2024-3848)

漏洞类型 路径遍历 发现时间 2024-05-17 漏洞等级 严重
MPS编号 MPS-ghw4-em9v CVE编号 CVE-2024-3848 漏洞影响广度

漏洞危害

OSCS 描述
MLflow是一个简化机器学习开发的平台,包括跟踪实验、将代码打包为可重复运行以及共享和部署模型。
受影响版本[2.9.2,2.12.1)容易受到路径遍历的攻击,该漏洞是针对CVE-2023-6909的绕过,攻击者可以使用”#”等字符将恶意路径插入URL中,从而跳过验证。因此,攻击者在创建Experiment环境时将URL转换为文件系统路径,从而达到读取任意文件的目的,包括SSH和云密钥等敏感信息。
参考链接:https://www.oscs1024.com/hd/MPS-ghw4-em9v

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
mlflow [2.9.2, 2.12.1) 升级 将组件 mlflow 升级至 2.12.1 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-ghw4-em9v

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-ghw4-em9v

https://github.com/advisories/GHSA-rfqq-wq6w-72jm

https://github.com/mlflow/mlflow/commit/f8d51e21523238280ebcfdb378612afd7844eca8

https://github.com/mlflow/mlflow/commit/695d287ec824760474bfd21a6d139d0efedb9aee

(0)
上一篇 2024年5月17日
下一篇 2024年5月18日

相关推荐

  • vm2 <=3.9.19 远程代码执行漏洞(Promise 绕过) (CVE-2023-37466)

    漏洞类型 注入 发现时间 2023/7/14 漏洞等级 严重 MPS编号 MPS-dvto-znpx CVE编号 CVE-2023-37466 漏洞影响广度 广 漏洞危害 OSCS 描述 vm2 是一个基于 Node.js 的沙箱环境,Promise 对象用来处理异步代码。3.9.19 及之前版本中,Promise 处理程序的过滤机制可以被绕过,攻击者可通过…

    2023年8月31日
    0
  • Oracle WebLogic T3/IIOP协议远程代码执行漏洞 (CVE-2024-21006)

    漏洞类型 反序列化 发现时间 2024-04-17 漏洞等级 高危 MPS编号 MPS-4q59-ecuw CVE编号 CVE-2024-21006 漏洞影响广度 一般 漏洞危害 OSCS 描述 Oracle WebLogic Server是美国甲骨文(Oracle)公司的一款适用于云环境和传统环境的应用服务中间件。 在WebLogic Server12.2…

    漏洞 2024年4月22日
    0
  • Apache OFBiz 路径遍历漏洞 (CVE-2024-36104)

    漏洞类型 路径遍历 发现时间 2024-06-03 漏洞等级 严重 MPS编号 MPS-xb5v-24ik CVE编号 CVE-2024-36104 漏洞影响广度 漏洞危害 OSCS 描述 Apache OFBiz是一个著名的电子商务平台,提供了创建基于最新J2EE/ XML规范和技术标准,构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商…

    漏洞 2024年6月4日
    0
  • Microsoft Exchange Server 远程代码执行漏洞 (CVE-2023-36439)

    漏洞类型 代码注入 发现时间 2023-11-15 漏洞等级 高危 MPS编号 MPS-z7l2-u3tm CVE编号 CVE-2023-36439 漏洞影响广度 广 漏洞危害 OSCS 描述 Microsoft Exchange Server 是微软公司开发的一款邮件服务器。 Microsoft Exchange Server 受影响版本中,具有普通用户权…

    2023年11月16日
    0
  • Windows Server NPS 远程代码执行漏洞 (MPS-56ge-38z4)

    漏洞类型 代码注入 发现时间 2023-08-21 漏洞等级 高危 MPS编号 MPS-56ge-38z4 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 Windows Server 中的 Network Policy Server (NPS) 是一种网络访问控制器,用于限制用户和设备对网络资源的访问权限,其 IAS Extensi…

    2023年8月22日
    0