mlflow に Path Traversal の脆弱性が存在

この脆弱性は、MLflowのアーティファクト削除処理におけるパス検証の不備に起因します。攻撃者は、deleteartifactmlflowartifactsハンドラおよびlocalfileuritopath関数におけるダブルデコードプロセスを悪用し、パスを不正に操作することで、本来アクセスできないはずのディレクトリを削除することが可能になります。これにより、機密情報を含むファイルや、システム運用に不可欠な設定ファイルなどが削除されるリスクがあります。攻撃者は、この脆弱性を利用して、MLflowサーバーの可用性を低下させたり、さらなる攻撃への足がかりを築くことも考えられます。

Organizations heavily reliant on MLflow for model tracking, deployment, and management are at significant risk. Specifically, environments with shared MLflow instances or those lacking robust access controls are particularly vulnerable. Users who have write access to the MLflow artifact store are potential threat actors.

• python / server:

import os
import subprocess

def check_mlflow_vulnerability():
    try:
        result = subprocess.run(['mlflow', 'artifacts', 'list'], capture_output=True, text=True, check=True)
        if '2.9.2' in result.stdout:
            print("MLflow version is vulnerable.")
        else:
            print("MLflow version is likely patched.")
    except FileNotFoundError:
        print("MLflow not found.")
check_mlflow_vulnerability()

• linux / server:

journalctl -u mlflow -g 'artifact deletion' | grep -i error

• generic web: Use curl to test artifact deletion endpoints with path traversal payloads (e.g., curl 'http://mlflow-server/artifacts/../sensitive_file') and observe the response.

1. 2024-04-16Disclosure

   disclosure

1. 予約済み2024-02-15
2. 公開日2024-04-16
3. 更新日2025-02-04
4. EPSS 更新日2026-04-02

MLflow 2.9.3以降にアップグレードすることが最も効果的な対策です。アップグレードが困難な場合は、WAF（Web Application Firewall）を導入し、不正なパス操作を検知・遮断するルールを設定することを推奨します。また、MLflowのアーティファクト削除機能の使用を制限したり、アクセス制御を強化することで、リスクを軽減できます。ファイルシステムのアクセス権限を適切に設定し、MLflowプロセスがアクセスできるディレクトリを最小限に抑えることも有効です。