CVE-2025-15381
Açıklama
mlflow/mlflow'un son sürümünde, `basic-auth` uygulaması etkinleştirildiğinde, izleme ve değerlendirme uç noktaları izin doğrulayıcıları tarafından korunmamaktadır. Bu durum, deney üzerinde `NO_PERMISSIONS` yetkisine sahip olanlar da dahil olmak üzere tüm kimliği doğrulanmış kullanıcıların, erişim hakları olmayan izlerin bilgilerini okumasına ve bu izler için değerlendirmeler oluşturmasına olanak tanır. Bu güvenlik açığı, izleme meta verilerini ifşa ederek gizliliği, yetkisiz değerlendirme oluşturulmasına izin vererek ise bütünlüğü etkilemektedir. `mlflow server --app-name=basic-auth` kullanan dağıtımlar etkilenmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | Aralık belirtilmemiş | — |
| mlflowPyPI | v ≤ 3.8.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.