CVE-2026-2652
Açıklama
mlflow/mlflow 3.9.0 ve önceki sürümlerindeki bir güvenlik açığı, sunucu kimlik doğrulaması etkinleştirilmiş şekilde (`--app-name basic-auth`) başlatıldığında ve uvicorn (ASGI) üzerinden servis edildiğinde, belirli FastAPI rotalarına kimlik doğrulaması yapılmadan erişilmesine izin verir. FastAPI izin ara yazılımı yalnızca `/gateway/` rotalarında kimlik doğrulamasını zorunlu kılar; bu durum Job API (`/ajax-api/3.0/jobs/*`) ve OpenTelemetry izleme veri alım API'si (`/v1/traces`) gibi diğer rotaları korumasız bırakır. Bu durum, kimlik doğrulaması yapmamış uzaktaki saldırganların işler göndermesine, iş sonuçlarını okumasına, çalışan işleri iptal etmesine ve deneylere rastgele izleme verileri enjekte etmesine olanak tanır. Sorun, Flask ve FastAPI kimlik doğrulama mekanizmaları arasındaki mimari uyumsuzluktan kaynaklanmaktadır; burada `_find_fastapi_validator()` fonksiyonu `/gateway/` dışındaki yolları işlemekte başarısız olur ve bu da tam bir kimlik doğrulama atlatmaya yol açar. Bu güvenlik açığı 3.10.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- lfprojects mlflow3.10.0 ya da sonraki bir sürüm
- mlflow3.11.0, 3.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mlflow | v < 3.10.0 | 3.10.0 |
| mlflowPyPI | v < 3.11.0, v < 3.10.0 | 3.11.0, 3.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.