Mlflow · Mlflow · CVE-2024-0520
**Nome do software vulnerável e versões afetadas**
mlflow/mlflow versão 8.2.1
mlflow/mlflow versões anteriores à 2.9.0
**Descrição**
Uma vulnerabilidade no mlflow/mlflow permite a execução remota de código devido à neutralização inadequada de elementos especiais usados em um comando do sistema operacional dentro do módulo `mlflow.data.http dataset source.py`. Ao carregar um conjunto de dados a partir de uma URL de origem com um esquema HTTP, o nome do arquivo extraído do cabeçalho `Content-Disposition` ou do caminho da URL é usado para gerar o caminho final do arquivo sem a devida sanitização. Isso permite que um invasor controle totalmente o caminho do arquivo utilizando técnicas de traversal de caminho ou caminho absoluto, levando à gravação arbitrária de arquivos. A exploração dessa vulnerabilidade pode permitir que um usuário mal-intencionado execute comandos na máquina vulnerável, potencialmente obtendo acesso a dados e informações do modelo.
**Recomendações**
Para a versão 8.2.1 do mlflow/mlflow, atualize para a versão 2.9.0 para corrigir o problema.
Como solução alternativa temporária, considere restringir o acesso ao módulo `mlflow.data.http dataset source.py` até que um patch esteja disponível.
Evite usar nomes de arquivos não sanitizados extraídos do cabeçalho `Content-Disposition` ou do caminho da URL no módulo afetado até que o problema seja resolvido.