CVE-2024-1593
Açıklama
URL parametrelerinin uygun şekilde işlenmemesi nedeniyle mlflow/mlflow deposunda bir yol aşımı (path traversal) zafiyeti bulunmaktadır. Saldırganlar, URL'lerde ';' karakterini kullanarak yol aşımı dizilerini sızdırarak, dosyalara veya dizinlere yetkisiz erişim sağlamak amacıyla URL'nin 'params' kısmını manipüle edebilirler. Bu zafiyet, URL'nin 'params' bölümüne rastgele veri sızdırılmasına izin vererek, önceki raporlarda açıklananlara benzer ancak parametre sızdırmak için ';' karakterini kullanan saldırılara olanak tanır. Başarılı bir istismar, yetkisiz bilgi ifşasına veya sunucunun ele geçirilmesine yol açabilir.
Nasıl düzeltilir
- lfprojects mlflow2.11.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | v < 2.11.3 | 2.11.3 |
| mlflowPyPI | v ≤ 2.9.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.