Een cross-site request forgery (CSRF) kwetsbaarheid in alle versies tot en met 1.14.1 van de api server component van Allegro AI’s ClearML platform stelt een externe aanvaller in staat een gebruiker te imiteren door AP te verzenden.

Een succesvolle exploitatie van deze CSRF-kwetsbaarheid kan ernstige gevolgen hebben voor ClearML-gebruikers. Een aanvaller kan zich voordoen als een legitieme gebruiker en ongeautoriseerde acties uitvoeren, zoals het compromitteren van vertrouwelijke workspaces en bestanden. Dit kan leiden tot datalekken van gevoelige informatie en het in gevaar brengen van ClearML-platforms binnen afgesloten netwerken. De mogelijkheid om API-verzoeken te manipuleren, geeft de aanvaller aanzienlijke controle over de functionaliteit van het platform.

Organizations utilizing ClearML for machine learning experiment tracking and management are at risk. This includes teams managing sensitive data within ClearML workspaces, particularly those operating within closed or isolated network environments. Users who have not implemented robust authentication and authorization controls are also at increased risk.

• python / server:

# Check for ClearML version
import requests
import json

url = 'http://your-clearml-server/api/v1/info'

try:
    response = requests.get(url)
    response.raise_for_status()
    data = response.json()
    version = data.get('version', 'Unknown')
    print(f'ClearML Version: {version}')
    if version and float(version) < 1.14.2:
        print('VULNERABLE: ClearML version is less than 1.14.2')
    else:
        print('ClearML version is patched.')
except requests.exceptions.RequestException as e:
    print(f'Error connecting to ClearML server: {e}')

1. 2024-02-06Disclosure

   disclosure

1. Gereserveerd2024-01-25
2. Gepubliceerd2024-02-06
3. Gewijzigd2025-06-17
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-24593 is het upgraden van ClearML naar versie 1.14.2 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van strikte inputvalidatie en output encoding op alle API-endpoints. Het gebruik van Content Security Policy (CSP) kan ook helpen om CSRF-aanvallen te beperken door de bronnen te beperken waaruit de browser scripts kan laden. Monitor de ClearML-logboeken op verdachte API-verzoeken en implementeer een Web Application Firewall (WAF) om kwaadaardig verkeer te blokkeren. Na de upgrade, verifieer de fix door te proberen een API-verzoek te versturen via een kwaadaardige HTML-pagina en controleer of de actie wordt geblokkeerd.