mlflow में पाथ ट्रावर्सल (Path Traversal) की भेद्यता

यह भेद्यता हमलावरों को सर्वर पर मनमाने फ़ाइलों तक पहुंच प्राप्त करने की अनुमति देती है, जिससे संवेदनशील डेटा, कॉन्फ़िगरेशन फ़ाइलें या अन्य महत्वपूर्ण जानकारी का खुलासा हो सकता है। हमलावर सिस्टम के भीतर आगे बढ़ने या अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए इस एक्सेस का उपयोग कर सकते हैं। यह भेद्यता विशेष रूप से उन वातावरणों में गंभीर है जहां MLflow का उपयोग संवेदनशील डेटा को संसाधित करने या संग्रहीत करने के लिए किया जाता है। यह CVE-2023-6909 के समान है, लेकिन URI के एक अलग घटक का उपयोग करता है।

Organizations deploying MLflow for machine learning model tracking and management are at risk. This includes teams using MLflow in production environments, particularly those with custom configurations or integrations that might not be fully aware of the vulnerability's implications. Shared hosting environments where multiple users share the same MLflow instance are also at increased risk.

• python / mlflow: Inspect MLflow server logs for requests containing # in the artifact_location parameter.

# Example: Search for log entries containing '#'
with open('mlflow.log', 'r') as f:
    for line in f:
        if '#' in line:
            print(line)

• generic web: Monitor web server access logs for requests to MLflow endpoints with unusual or unexpected characters in the artifact_location parameter. • generic web: Check for unexpected files appearing in the MLflow artifact storage directory.

1. 2024-04-16Disclosure

   disclosure

1. आरक्षित2024-02-16
2. प्रकाशित2024-04-16
3. संशोधित2025-02-04
4. EPSS अद्यतन2026-04-02

MLflow को संस्करण 2.9.3 या बाद के संस्करण में अपडेट करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी शमन उपाय के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके # फ़्रैगमेंट वाले अनुरोधों को ब्लॉक कर सकते हैं। इसके अतिरिक्त, आप MLflow के कॉन्फ़िगरेशन को सख्त करके और फ़ाइल एक्सेस प्रतिबंधों को लागू करके जोखिम को कम कर सकते हैं। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, फ़ाइलों तक अनधिकृत पहुंच के लिए सिस्टम की जांच करें।