CVE-2025-15036
Təsvir
mlflow/mlflow repozitoriyasının `mlflow/pyfunc/dbconnect_artifact_cache.py` faylındakı `extract_archive_to_dir` funksiyasında yol keçidi (path traversal) zəifliyi mövcuddur. v3.7.0 versiyasından əvvəlki versiyalarda olan bu zəiflik, arxivdən çıxarma zamanı tar üzvlərinin yollarının təsdiqlənməməsi səbəbindən yaranır. tar.gz faylına nəzarət edən hücumçu, ixtiyari faylları yenidən yazmaq və ya imtiyazları yüksəltmək üçün bu problemdən istifadə edə bilər ki, bu da çoxistifadəçili və ya ortaq klaster mühitlərində qum qutusundan (sandbox) çıxmağa imkan verir.
Necə düzəltmək olar
- lfprojects mlflow3.9.0 və ya daha yeni versiya
- mlflow3.9.0rc0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mlflow | v < 3.9.0 | 3.9.0 |
| mlflowPyPI | v < 3.9.0rc0 | 3.9.0rc0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.