MLflow possui uma injeção de comando em mlflow/sagemaker/__init__.py

A exploração bem-sucedida desta vulnerabilidade permite a um atacante executar comandos do sistema operacional com as permissões do processo MLflow. Isso pode levar à exfiltração de dados confidenciais, instalação de malware, ou mesmo o comprometimento completo do sistema. Em ambientes de CI/CD, um atacante pode injetar código malicioso no pipeline de build, afetando todas as implantações subsequentes. Em implantações em nuvem, a vulnerabilidade pode ser explorada para obter acesso a outros recursos da nuvem, ampliando o raio de impacto. A falta de sanitização direta do input do usuário torna a exploração relativamente simples, especialmente para atacantes com conhecimento de comandos do sistema operacional.

Organizations heavily reliant on MLflow for machine learning model management, particularly those using it in CI/CD pipelines or cloud deployments, are at significant risk. Shared hosting environments where multiple users have access to the MLflow CLI are also vulnerable, as an attacker could potentially exploit the vulnerability on behalf of another user.

• python / mlflow:

import subprocess
import os

def check_mlflow_version():
    try:
        result = subprocess.check_output(['mlflow', '--version'], stderr=subprocess.STDOUT)
        version = result.decode('utf-8').strip()
        if version <= '3.7.0rc0':
            print(f"MLflow version is vulnerable: {version}")
        else:
            print(f"MLflow version is not vulnerable: {version}")
    except FileNotFoundError:
        print("MLflow is not installed.")
check_mlflow_version()

• generic web: Check for suspicious container image names being passed to MLflow CLI via command-line arguments or environment variables. Monitor access logs for unusual activity related to MLflow.

1. 2026-03-16Disclosure

   disclosure

1. Reservado2025-12-08
2. Publicada2026-03-16
3. Modificada2026-03-17
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o MLflow para a versão 3.8.0rc0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar controles de acesso mais rigorosos para restringir o acesso ao parâmetro --container. Implementar validação de entrada para o parâmetro --container, rejeitando nomes de imagens que contenham caracteres especiais ou comandos potencialmente perigosos. Monitore logs do sistema em busca de atividades suspeitas, como a execução de comandos inesperados. Em ambientes de produção, considere a implementação de um Web Application Firewall (WAF) para filtrar solicitações maliciosas. Após a atualização, confirme a correção executando testes de segurança para verificar se a vulnerabilidade foi efetivamente mitigada.