Escritura arbitraria de archivos a través de recorrido de tar en mlflow

El impacto de esta vulnerabilidad es significativo, especialmente en entornos multi-tenant o donde se ingieren artefactos no confiables. Un atacante puede crear un archivo tar.gz malicioso que contenga rutas relativas (..) o rutas absolutas que permitan escapar del directorio de extracción previsto. Al procesar este archivo, MLflow extraerá los archivos en ubicaciones inesperadas, sobrescribiendo archivos críticos del sistema o insertando archivos maliciosos. Esto podría resultar en la pérdida de datos, la modificación de la configuración del sistema o, en el peor de los casos, la ejecución de código arbitrario en el servidor. La falta de validación de rutas en el proceso de extracción de pyfunc es la causa raíz de esta vulnerabilidad.

Organizations utilizing MLflow in multi-tenant environments or those that ingest machine learning artifacts from untrusted sources are at the highest risk. Specifically, teams relying on automated artifact pipelines without robust validation procedures are particularly vulnerable. Users who have not upgraded to MLflow 3.9.0rc0 or later are also at risk.

• python / mlflow: Inspect MLflow's pyfunc extraction code for missing path validation.

import tarfile

tar = tarfile.open('malicious.tar.gz', 'r:gz')
for member in tar.getmembers():
    member.name = os.path.join('safe_extraction_dir', member.name) # Add path validation here
tar.extractall('extraction_dir')
tar.close()

• linux / server: Monitor file system activity for unexpected writes in MLflow's extraction directories using auditd.

ausearch -m always -f /path/to/mlflow/extraction_dir

• generic web: Monitor access logs for requests containing tar.gz archives with suspicious filenames or paths.

1. 2026-03-19Disclosure

   disclosure

1. Reservado2025-12-22
2. Publicada2026-03-19
3. Modificada2026-03-24
4. EPSS actualizado2026-03-26

La mitigación principal es actualizar a la versión 3.9.0rc0 de MLflow, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar una validación estricta de las rutas de los archivos extraídos antes de llamar a tarfile.extractall. Esto puede lograrse verificando que las rutas extraídas estén dentro del directorio esperado y no contengan secuencias como ... Además, considere implementar un WAF (Web Application Firewall) que pueda detectar y bloquear solicitudes que contengan archivos tar.gz maliciosos. Verifique después de la actualización que la extracción de archivos tar se realiza de forma segura y que las rutas se validan correctamente.