Willekeurig bestand schrijven via tar traversal in mlflow

Deze kwetsbaarheid is kritiek omdat het aanvallers in staat stelt om willekeurige bestanden op het systeem te overschrijven. Dit kan leiden tot remote code execution (RCE) als de overschreven bestanden uitvoerbaar zijn of als de aanval gebruikt kan worden om configuratiebestanden te wijzigen. In multi-tenant omgevingen of bij het verwerken van onbetrouwbare artifacts, kan deze kwetsbaarheid misbruikt worden om gevoelige informatie te stelen, systemen te compromitteren of de beschikbaarheid van de dienst te verstoren. De mogelijkheid om willekeurige bestanden te schrijven, opent de deur naar een breed scala aan aanvallen, vergelijkbaar met scenario's waarbij configuratiebestanden worden overschreven om toegang te krijgen tot gevoelige gegevens of om kwaadaardige code uit te voeren.

Organizations utilizing MLflow in multi-tenant environments or those that ingest machine learning artifacts from untrusted sources are at the highest risk. Specifically, teams relying on automated artifact pipelines without robust validation procedures are particularly vulnerable. Users who have not upgraded to MLflow 3.9.0rc0 or later are also at risk.

• python / mlflow: Inspect MLflow's pyfunc extraction code for missing path validation.

import tarfile

tar = tarfile.open('malicious.tar.gz', 'r:gz')
for member in tar.getmembers():
    member.name = os.path.join('safe_extraction_dir', member.name) # Add path validation here
tar.extractall('extraction_dir')
tar.close()

• linux / server: Monitor file system activity for unexpected writes in MLflow's extraction directories using auditd.

ausearch -m always -f /path/to/mlflow/extraction_dir

• generic web: Monitor access logs for requests containing tar.gz archives with suspicious filenames or paths.

1. 2026-03-19Disclosure

   disclosure

1. Gereserveerd2025-12-22
2. Gepubliceerd2026-03-19
3. Gewijzigd2026-03-24
4. EPSS bijgewerkt2026-03-26

De primaire mitigatie is het upgraden naar MLflow versie 3.9.0rc0 of hoger, waar deze kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan het implementeren van een WAF (Web Application Firewall) helpen om verdachte tar.gz bestanden te blokkeren. Controleer de pyfunc extractieprocedure op onverwachte bestandsnamen en paden. Implementeer strenge toegangscontroles op de extractiedirectory om te voorkomen dat bestanden buiten deze directory geschreven kunnen worden. Na de upgrade, controleer de logbestanden op ongebruikelijke activiteit gerelateerd aan de pyfunc extractieprocedure om te bevestigen dat de kwetsbaarheid is verholpen.