Escrita arbitrária de arquivos via travessia tar em mlflow

Um atacante pode explorar esta vulnerabilidade criando um arquivo tar.gz malicioso contendo entradas com caminhos relativos (..) ou absolutos. Ao extrair este arquivo através do processo de pyfunc do MLflow, o atacante pode escapar do diretório de extração pretendido e sobrescrever arquivos arbitrários no sistema de arquivos. Em cenários de ambientes multi-tenant ou onde artefatos não confiáveis são ingeridos, isso pode levar à execução remota de código, comprometendo a integridade do sistema e a confidencialidade dos dados. A possibilidade de sobrescrever arquivos de configuração ou executáveis aumenta significativamente o potencial de dano.

Organizations utilizing MLflow in multi-tenant environments or those that ingest machine learning artifacts from untrusted sources are at the highest risk. Specifically, teams relying on automated artifact pipelines without robust validation procedures are particularly vulnerable. Users who have not upgraded to MLflow 3.9.0rc0 or later are also at risk.

• python / mlflow: Inspect MLflow's pyfunc extraction code for missing path validation.

import tarfile

tar = tarfile.open('malicious.tar.gz', 'r:gz')
for member in tar.getmembers():
    member.name = os.path.join('safe_extraction_dir', member.name) # Add path validation here
tar.extractall('extraction_dir')
tar.close()

• linux / server: Monitor file system activity for unexpected writes in MLflow's extraction directories using auditd.

ausearch -m always -f /path/to/mlflow/extraction_dir

• generic web: Monitor access logs for requests containing tar.gz archives with suspicious filenames or paths.

1. 2026-03-19Disclosure

   disclosure

1. Reservado2025-12-22
2. Publicada2026-03-19
3. Modificada2026-03-24
4. EPSS atualizado2026-03-26

A mitigação primária é atualizar o MLflow para a versão 3.9.0rc0 ou superior, que corrige esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar controles de acesso rigorosos aos diretórios de extração de pyfunc, restringindo o acesso apenas a usuários autorizados. Além disso, valide cuidadosamente todos os arquivos tar.gz antes de extraí-los, verificando a integridade dos caminhos dos arquivos e garantindo que não contenham caminhos relativos ou absolutos inesperados. Implementar um sistema de sandboxing para a execução de pyfuncs também pode ajudar a isolar o impacto de uma possível exploração.