mlflowにおけるtarトラバーサルによる任意のファイル書き込み

この脆弱性を悪用されると、攻撃者は悪意のあるtar.gzファイルをMLflowに送信し、..や絶対パスを含むエントリによって、意図しないディレクトリにファイルを上書きできます。これにより、機密情報の漏洩、システムの改ざん、さらにはリモートコード実行につながる可能性があります。特に、MLflowが複数のユーザーまたはサービスによって共有されている環境では、攻撃者は他のユーザーのデータやシステムにアクセスできる可能性があります。この脆弱性は、類似のアーカイブ処理の脆弱性と同様に、広範囲な影響を及ぼす可能性があります。

Organizations utilizing MLflow in multi-tenant environments or those that ingest machine learning artifacts from untrusted sources are at the highest risk. Specifically, teams relying on automated artifact pipelines without robust validation procedures are particularly vulnerable. Users who have not upgraded to MLflow 3.9.0rc0 or later are also at risk.

• python / mlflow: Inspect MLflow's pyfunc extraction code for missing path validation.

import tarfile

tar = tarfile.open('malicious.tar.gz', 'r:gz')
for member in tar.getmembers():
    member.name = os.path.join('safe_extraction_dir', member.name) # Add path validation here
tar.extractall('extraction_dir')
tar.close()

• linux / server: Monitor file system activity for unexpected writes in MLflow's extraction directories using auditd.

ausearch -m always -f /path/to/mlflow/extraction_dir

• generic web: Monitor access logs for requests containing tar.gz archives with suspicious filenames or paths.

1. 2026-03-19Disclosure

   disclosure

1. 予約済み2025-12-22
2. 公開日2026-03-19
3. 更新日2026-03-24
4. EPSS 更新日2026-03-26

まず、MLflowを3.9.0rc0以降のバージョンにアップグレードすることを強く推奨します。アップグレードがすぐに利用できない場合は、信頼できないソースからのアーティファクトの取り込みを一時的に停止し、MLflowの実行環境へのネットワークアクセスを制限することを検討してください。WAF（Web Application Firewall）を導入し、悪意のあるtar.gzファイルのアップロードをブロックするルールを設定することも有効です。また、ファイルシステムのアクセス制御を強化し、MLflowがファイルを書き込むことができるディレクトリを制限することも重要です。アップグレード後、ファイルシステムへのアクセス権限を再度確認し、不正なファイルが存在しないことを確認してください。