CVE-2025-14287
Təsvir
mlflow/mlflow versiya v3.7.0-dan əvvəlki versiyalarda, xüsusilə `mlflow/sagemaker/__init__.py` faylının 161-167-ci sətirlərində komanda inyeksiyası zəifliyi mövcuddur. Zəiflik, istifadəçi tərəfindən təmin edilən konteyner imic adlarının lazımi təmizləmə prosesi olmadan birbaşa shell komandalarına daxil edilməsi və daha sonra `os.system()` vasitəsilə icra edilməsindən qaynaqlanır. Bu, hücumçulara CLI-ın `--container` parametri vasitəsilə zərərli girişlər göndərməklə ixtiyari komandaları icra etməyə imkan verir. Problem MLflow-dan istifadə olunan mühitlərə, o cümlədən tərtibat qurğularına, CI/CD boru xətlərinə və bulud yerləşdirmələrinə təsir edir.
Necə düzəltmək olar
- lfprojects mlflow3.7.0 və ya daha yeni versiya
- mlflow3.8.0rc0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mlflow | v < 3.7.0 | 3.7.0 |
| mlflowPyPI | v < 3.8.0rc0 | 3.8.0rc0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.