HIGHCVE-2024-1558CVSS 7.5

mlflow में पाथ ट्रावर्सल (Path Traversal) की भेद्यता

Q: CVE-2024-1558 — पाथ ट्रैवर्सल mlflow में क्या है?

CVE-2024-1558 mlflow के `_create_model_version()` फ़ंक्शन में एक पाथ ट्रैवर्सल भेद्यता है, जो हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति देती है।

प्लेटफ़ॉर्म

python

घटक

mlflow

में ठीक किया गया

2.12.1

AI Confidence: highNVDEPSS 0.1%समीक्षित: मई 2026

NVD पर देखें

सहेजें

CVE-2024-1558 एक पाथ ट्रैवर्सल भेद्यता है जो mlflow के createmodel_version() फ़ंक्शन में पाई गई है। यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति दे सकती है, जिससे संवेदनशील डेटा का जोखिम बढ़ जाता है। यह भेद्यता mlflow के संस्करणों 2.9.2 और उससे पहले को प्रभावित करती है। इस समस्या को 2.12.1 में ठीक कर दिया गया है।

Python

इस CVE को अपने प्रोजेक्ट में पहचानें

अपनी requirements.txt फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।

requirements.txt अपलोड करेंसमर्थित प्रारूप: requirements.txt · Pipfile.lock

प्रभाव और हमले की स्थितियाँ

इस भेद्यता का शोषण करके, एक हमलावर source पैरामीटर को कुशलतापूर्वक तैयार करके validatenonlocalsourcecontainsrelative_paths(source) फ़ंक्शन के सुरक्षा जांचों को दरकिनार कर सकता है। यह उन्हें सर्वर पर मनमाने ढंग से फ़ाइलों तक पहुंचने और पढ़ने की अनुमति देगा। संभावित रूप से उजागर डेटा में कॉन्फ़िगरेशन फ़ाइलें, API कुंजियाँ, डेटाबेस क्रेडेंशियल और अन्य संवेदनशील जानकारी शामिल हो सकती है। इस भेद्यता का उपयोग आगे के हमलों को लॉन्च करने या डेटा को चुराने के लिए किया जा सकता है। यह भेद्यता विशेष रूप से उन वातावरणों में गंभीर है जहां mlflow का उपयोग संवेदनशील डेटा को संग्रहीत और संसाधित करने के लिए किया जाता है।

शोषण संदर्भ

CVE-2024-1558 को अभी तक CISA KEV में शामिल नहीं किया गया है। EPSS स्कोर की जानकारी उपलब्ध नहीं है। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) अभी तक नहीं देखा गया है, लेकिन भेद्यता की प्रकृति के कारण, इसका शोषण किया जा सकता है। यह भेद्यता 2024-04-16 को प्रकाशित हुई थी।

कौन जोखिम में हैअनुवाद हो रहा है…

Organizations deploying MLflow for machine learning model management, particularly those using older versions (≤2.9.2), are at risk. Shared hosting environments where multiple users share the same MLflow instance are especially vulnerable, as an attacker could potentially access data belonging to other users. Environments with weak access controls to the MLflow tracking server are also at increased risk.

पहचान के चरणअनुवाद हो रहा है…

• python / mlflow:

import os
import mlflow

# Attempt to read a file outside the intended directory
try:
    mlflow.tracking.MlflowClient().create_model_version('model', '1', source='../../../../../../etc/passwd')
    print('Potential vulnerability detected!')
except Exception as e:
    print(f'Error: {e}')

• generic web: Check MLflow server logs for requests containing path traversal sequences (e.g., '../'). • generic web: Monitor network traffic to the MLflow server for suspicious requests targeting the /tracking/model-versions endpoint.

हमले की समयरेखा

2024-04-16Disclosure
disclosure

खतरा खुफिया

एक्सप्लॉइट स्थिति

प्रूफ ऑफ कॉन्सेप्टअज्ञात

CISA KEVNO

इंटरनेट एक्सपोज़रउच्च

EPSS

0.09% (26% शतमक)

CISA SSVC

शोषणpoc

स्वचालनीयyes

तकनीकी प्रभावpartial

CVSS वेक्टर

इन मेट्रिक्स का क्या मतलब है?

Attack Vector: नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
Attack Complexity: निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
Privileges Required: कोई नहीं — बिना प्रमाणीकरण के शोषण योग्य।
User Interaction: कोई नहीं — स्वचालित और मूक हमला। पीड़ित कुछ नहीं करता।
Scope: अपरिवर्तित — प्रभाव केवल कमज़ोर घटक तक सीमित।
Confidentiality: उच्च — पूर्ण गोपनीयता हानि। हमलावर सभी डेटा पढ़ सकता है।
Integrity: कोई नहीं — अखंडता पर कोई प्रभाव नहीं।
Availability: कोई नहीं — उपलब्धता पर कोई प्रभाव नहीं।

प्रभावित सॉफ्टवेयर

घटकmlflow

विक्रेताosv

प्रभावित श्रेणीमें ठीक किया गया

unspecified – latest—

—2.12.1

कमजोरी वर्गीकरण (CWE)

CWE-22

समयरेखा

आरक्षित2024-02-15
प्रकाशित2024-04-16
संशोधित2025-02-04
EPSS अद्यतन2026-04-02

प्रकाशन के 1 दिन बाद पैच

शमन और वर्कअराउंड

CVE-2024-1558 के लिए तत्काल शमन उपाय mlflow को संस्करण 2.12.1 या बाद के संस्करण में अपग्रेड करना है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके source पैरामीटर के लिए इनपुट सत्यापन को लागू कर सकते हैं। यह सुनिश्चित करें कि source पैरामीटर में केवल अपेक्षित वर्ण शामिल हैं और इसमें पथ ट्रैवर्सल अनुक्रम जैसे ../ नहीं हैं। इसके अतिरिक्त, आप अपने mlflow सर्वर के फ़ाइल सिस्टम अनुमतियों को सख्त कर सकते हैं ताकि केवल अधिकृत उपयोगकर्ताओं को संवेदनशील फ़ाइलों तक पहुंचने की अनुमति मिल सके। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, source पैरामीटर के साथ पथ ट्रैवर्सल प्रयासों का अनुकरण करके।

कैसे ठीक करेंअनुवाद हो रहा है…

Actualice la biblioteca mlflow a la última versión disponible. Esto solucionará la vulnerabilidad de path traversal. Consulte las notas de la versión para obtener más detalles sobre la actualización.

CVE सुरक्षा न्यूज़लेटर

भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।

अक्सर पूछे जाने वाले सवाल

CVE-2024-1558 — पाथ ट्रैवर्सल mlflow में क्या है?

CVE-2024-1558 mlflow के createmodel_version() फ़ंक्शन में एक पाथ ट्रैवर्सल भेद्यता है, जो हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति देती है।

क्या मैं CVE-2024-1558 से mlflow में प्रभावित हूं?

यदि आप mlflow के संस्करण 2.9.2 या उससे पहले का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।

मैं CVE-2024-1558 को mlflow में कैसे ठीक करूं?

CVE-2024-1558 को ठीक करने के लिए, आपको mlflow को संस्करण 2.12.1 या बाद के संस्करण में अपग्रेड करना चाहिए।

क्या CVE-2024-1558 सक्रिय रूप से शोषण किया जा रहा है?

हालांकि अभी तक सक्रिय शोषण की पुष्टि नहीं हुई है, लेकिन भेद्यता की प्रकृति के कारण, इसका शोषण किया जा सकता है।

मैं CVE-2024-1558 के लिए आधिकारिक mlflow सलाहकार कहां पा सकता हूं?

आप आधिकारिक mlflow सलाहकार यहां पा सकते हैं: [https://github.com/mlflow/mlflow/security/advisories/GHSA-5g3g-6x5w-949r](https://github.com/mlflow/mlflow/security/advisories/GHSA-5g3g-6x5w-949r)

क्या आपका प्रोजेक्ट प्रभावित है?

अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।

मुफ्त स्कैन करें CVE खोजें