CVE-2024-3573
Təsvir
mlflow/mlflow URI-lərin düzgün təhlil edilməməsi səbəbindən Yerli Faylların Daxiletməsi (LFI) zəifliyinə malikdir ki, bu da hücumçulara yoxlamaları yan keçərək sistemdəki istənilən faylları oxumağa imkan verir. Problem 'is_local_uri' funksiyasının boş və ya 'file' sxemli URI-ləri düzgün emal edə bilməməsindən qaynaqlanır və bu, URI-lərin yerli olmayan kimi yanlış təsnif edilməsinə gətirib çıxarır. Hücumçular xüsusi hazırlanmış 'source' parametrləri ilə zərərli model versiyaları yaradaraq bundan istifadə edə bilər və serverin kök kataloqundan ən azı iki kataloq səviyyəsində olan həssas faylları oxuya bilərlər.
Necə düzəltmək olar
- lfprojects mlflow2.10.0 və ya daha yeni versiya
- mlflow2.10.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mlflow | v < 2.10.0 | 2.10.0 |
| mlflowPyPI | v < 2.10.0 | 2.10.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.