Écriture de fichier arbitraire via parcours tar dans mlflow

L'exploitation réussie de cette vulnérabilité permet à un attaquant de compromettre le système MLflow en écrivant des fichiers arbitraires. Un attaquant pourrait potentiellement surécrire des fichiers de configuration critiques, des scripts d'exécution ou même des fichiers système, conduisant à une exécution de code à distance. Dans les environnements multi-tenant, cette vulnérabilité présente un risque particulièrement élevé, car un attaquant pourrait compromettre les données et les modèles d'autres utilisateurs. Le risque est exacerbé par l'ingestion d'artefacts non fiables, car un fichier tar.gz malveillant pourrait être utilisé pour contourner les mesures de sécurité et obtenir un accès non autorisé.

Organizations utilizing MLflow in multi-tenant environments or those that ingest machine learning artifacts from untrusted sources are at the highest risk. Specifically, teams relying on automated artifact pipelines without robust validation procedures are particularly vulnerable. Users who have not upgraded to MLflow 3.9.0rc0 or later are also at risk.

• python / mlflow: Inspect MLflow's pyfunc extraction code for missing path validation.

import tarfile

tar = tarfile.open('malicious.tar.gz', 'r:gz')
for member in tar.getmembers():
    member.name = os.path.join('safe_extraction_dir', member.name) # Add path validation here
tar.extractall('extraction_dir')
tar.close()

• linux / server: Monitor file system activity for unexpected writes in MLflow's extraction directories using auditd.

ausearch -m always -f /path/to/mlflow/extraction_dir

• generic web: Monitor access logs for requests containing tar.gz archives with suspicious filenames or paths.

1. 2026-03-19Disclosure

   disclosure

1. Réservé2025-12-22
2. Publiée2026-03-19
3. Modifiée2026-03-24
4. EPSS mis à jour2026-03-26

La mitigation principale consiste à mettre à jour MLflow vers la version 3.9.0rc0 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est recommandé de désactiver temporairement l'ingestion d'artefacts non fiables dans MLflow. Si la mise à jour n'est pas immédiatement possible, une solution de contournement consiste à renforcer les contrôles d'accès au répertoire d'extraction, en limitant les permissions d'écriture aux seuls utilisateurs autorisés. Il est également possible de mettre en place un pare-feu applicatif web (WAF) pour bloquer les requêtes contenant des chemins d'accès malveillants (par exemple, ceux contenant ..). Après la mise à jour, vérifiez que l'extraction d'archives tar.gz se fait correctement et que les fichiers sont extraits dans le répertoire prévu.