CVE-2025-15031
Açıklama
MLflow'un pyfunc çıkarma sürecindeki bir güvenlik açığı, tar arşiv girişlerinin uygun şekilde işlenmemesi nedeniyle rastgele dosya yazılmasına izin vermektedir. Özellikle, yol doğrulaması olmadan `tarfile.extractall` kullanımı, `..` veya mutlak yollar içeren özel olarak hazırlanmış tar.gz dosyalarının hedeflenen çıkarma dizininin dışına çıkmasını sağlamaktadır. Bu sorun MLflow'un son sürümünü etkilemekte olup; rastgele dosya üzerine yazılmasına ve potansiyel uzaktan kod çalıştırmaya yol açabileceği için çok kiracılı ortamların bulunduğu veya güvenilmeyen artefaktların alındığı senaryolarda yüksek/kritik risk oluşturmaktadır.
Nasıl düzeltilir
- mlflow3.9.0rc0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | v ≤ 3.10.1 | — |
| mlflowPyPI | v < 3.9.0rc0 | 3.9.0rc0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.