Una vulnerabilidad de falsificación de solicitud entre sitios (CSRF) en todas las versiones hasta la 1.14.1 del componente de servidor de API de la plataforma ClearML de Allegro AI permite a un atacante remoto suplantar a un usuario enviando AP

La vulnerabilidad CSRF en ClearML permite a un atacante, sin necesidad de autenticación previa, ejecutar acciones en nombre de un usuario autenticado. Esto puede incluir la creación, modificación o eliminación de espacios de trabajo, el acceso a archivos confidenciales almacenados en la plataforma, y la ejecución de comandos arbitrarios dentro del contexto del usuario comprometido. Un atacante podría, por ejemplo, modificar la configuración de experimentos, robar datos de entrenamiento o incluso comprometer la integridad de los resultados de los modelos. La naturaleza de ClearML como plataforma de gestión de experimentos de machine learning implica que los datos afectados pueden ser altamente sensibles, incluyendo modelos entrenados, conjuntos de datos y metadatos de experimentos, lo que amplifica el impacto de esta vulnerabilidad.

Organizations utilizing ClearML for machine learning experiment tracking and management are at risk. This includes teams managing sensitive data within ClearML workspaces, particularly those operating within closed or isolated network environments. Users who have not implemented robust authentication and authorization controls are also at increased risk.

• python / server:

# Check for ClearML version
import requests
import json

url = 'http://your-clearml-server/api/v1/info'

try:
    response = requests.get(url)
    response.raise_for_status()
    data = response.json()
    version = data.get('version', 'Unknown')
    print(f'ClearML Version: {version}')
    if version and float(version) < 1.14.2:
        print('VULNERABLE: ClearML version is less than 1.14.2')
    else:
        print('ClearML version is patched.')
except requests.exceptions.RequestException as e:
    print(f'Error connecting to ClearML server: {e}')

1. 2024-02-06Disclosure

   disclosure

1. Reservado2024-01-25
2. Publicada2024-02-06
3. Modificada2025-06-17
4. EPSS actualizado2026-04-02

La solución principal es actualizar a la versión 1.14.2 de ClearML, que corrige esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación como la validación estricta de los tokens CSRF en todas las solicitudes de API. Implementar políticas de seguridad de contenido (CSP) para restringir las fuentes de las que se pueden cargar los scripts puede ayudar a mitigar el riesgo. Además, se recomienda revisar y fortalecer las políticas de acceso a los espacios de trabajo y archivos, limitando los permisos a los usuarios que realmente los necesitan. Finalmente, monitorear los registros de la plataforma en busca de patrones de actividad sospechosa puede ayudar a detectar y responder a posibles ataques.