CVE-2024-0520

mlflow/mlflow sürüm 8.2.1'deki bir güvenlik açığı, `mlflow.data.http_dataset_source.py` modülü içerisinde bir işletim sistemi komutunda kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesi ('Komut Enjeksiyonu') nedeniyle uzaktan kod çalıştırmaya olanak tanır. Özellikle, HTTP şemasına sahip bir kaynak URL'den veri kümesi yüklenirken, `Content-Disposition` başlığından veya URL yolundan çıkarılan dosya adı, uygun temizleme işlemi yapılmadan nihai dosya yolunu oluşturmak için kullanılır. Bu açık, bir saldırganın dizin gezginliği (path traversal) veya '/tmp/poc.txt' veya '../../tmp/poc.txt' gibi mutlak yol tekniklerini kullanarak dosya yolunu tamamen kontrol etmesine ve böylece rastgele dosya yazmasına imkan verir. Bu güvenlik açığının istismar edilmesi, kötü niyetli bir kullanıcının savunmasız makinede komutlar çalıştırmasına, potansiyel olarak verilere ve model bilgilerine erişmesine neden olabilir. Sorun 2.9.0 sürümünde düzeltilmiştir.