mlflow/mlflow में ट्रेसिंग और असेसमेंट एंडपॉइंट्स तक अनधिकृत पहुंच

mlflow/mlflow में CVE-2025-15381 उन डिप्लॉयमेंट को प्रभावित करता है जो बेसिक ऑथेंटिकेशन (basic-auth) का उपयोग करते हैं और ट्रैकिंग और मूल्यांकन एंडपॉइंट सक्षम हैं। इन एंडपॉइंट को अनुमति सत्यापनकर्ताओं द्वारा संरक्षित नहीं किया गया है। यह किसी भी प्रमाणित उपयोगकर्ता को, जिसमें प्रयोग पर NO_PERMISSIONS वाले उपयोगकर्ता भी शामिल हैं, उन ट्रैकिंग जानकारी को पढ़ने और उन ट्रैकिंग के लिए मूल्यांकन बनाने की अनुमति देता है जिन तक उन्हें पहुंच नहीं होनी चाहिए। यह भेद्यता ट्रैकिंग मेटाडेटा को उजागर करके गोपनीयता से समझौता करती है और अनधिकृत मूल्यांकन निर्माण की अनुमति देकर अखंडता से समझौता करती है, जिससे गलत निष्कर्ष या डेटा हेरफेर हो सकता है। CVSS गंभीरता 8.1 है, जो उच्च जोखिम का संकेत देता है।

1. आरक्षित2025-12-30
2. प्रकाशित2026-03-27
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-04

वर्तमान में, इस भेद्यता के लिए mlflow/mlflow में कोई प्रत्यक्ष फिक्स उपलब्ध नहीं है। सबसे प्रभावी शमन उपाय यह है कि जब बिल्कुल आवश्यक न हो तो बेसिक ऑथेंटिकेशन (basic-auth) को अक्षम कर दिया जाए। यदि बेसिक ऑथेंटिकेशन की आवश्यकता है, तो ट्रैकिंग और मूल्यांकन एंडपॉइंट को सुरक्षित करने के लिए एप्लिकेशन स्तर पर कस्टम एक्सेस नियंत्रण को लागू करने की सिफारिश की जाती है। इसमें इन संसाधनों तक पहुंचने की अनुमति देने से पहले उपयोगकर्ता की अनुमति को स्पष्ट रूप से सत्यापित करना शामिल है। mlflow लॉग की सक्रिय रूप से निगरानी करना और ट्रैकिंग और मूल्यांकन एक्सेस से संबंधित संदिग्ध गतिविधि का पता लगाना भी महत्वपूर्ण है। भविष्य के पैच के लिए mlflow/mlflow अपडेट पर ध्यान रखना उचित है।