Vulnérabilité d'exécution de code à distance par contournement de répertoire lors de la création de modèle dans MLflow Tracking Server

L'impact de cette vulnérabilité est critique, car elle permet à un attaquant d'exécuter du code arbitraire sur le serveur MLflow Tracking Server sans authentification. Cela peut conduire à la compromission complète du système, y compris le vol de données sensibles, la modification des modèles d'apprentissage automatique, ou l'utilisation du serveur comme point de pivot pour attaquer d'autres systèmes sur le réseau. La simplicité de l'exploitation, sans besoin d'authentification, augmente considérablement le risque. Une exploitation réussie pourrait permettre à un attaquant de prendre le contrôle total de l'environnement MLflow, compromettant ainsi l'intégrité et la confidentialité des données d'apprentissage automatique.

Organizations heavily reliant on MLflow for model tracking and deployment are particularly at risk. This includes data science teams, machine learning engineers, and companies deploying machine learning models in production environments. Shared hosting environments where multiple users share the same MLflow instance are also at increased risk, as a compromised model could potentially affect other users.

• python / mlflow:

import os
import subprocess

def check_mlflow_version():
    try:
        result = subprocess.run(['mlflow', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version <= '3.0.0rc3':
            print(f"MLflow version is vulnerable: {version}")
        else:
            print(f"MLflow version is patched: {version}")
    except FileNotFoundError:
        print("MLflow is not installed.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking MLflow version: {e}")

check_mlflow_version()

• linux / server: journalctl filters for suspicious process executions within the MLflow Tracking Server directory.

journalctl -u mlflow-tracking-server -g 'path=/path/to/mlflow/models/'

1. 2025-10-29Disclosure

   disclosure

2. 2025-10-29Patch

   patch

1. Réservé2025-09-30
2. Publiée2025-10-29
3. Modifiée2025-12-05
4. EPSS mis à jour2026-03-23

La solution la plus efficace est de mettre à jour MLflow Tracking Server vers la version 3.0.0 ou supérieure, qui corrige cette vulnérabilité. En attendant, des mesures d'atténuation peuvent être mises en place. Limitez l'accès au serveur MLflow Tracking Server aux utilisateurs et systèmes autorisés. Implémentez une politique de sécurité stricte pour les chemins de fichiers, en interdisant les caractères spéciaux et en validant les entrées utilisateur. Surveillez attentivement les journaux du serveur pour détecter toute activité suspecte. Bien qu'il n'y ait pas de règles WAF spécifiques connues, une règle bloquant les requêtes contenant des séquences de traversal de répertoire (../) pourrait offrir une protection partielle.