PT-2024-21667 · Mlflow · Mlflow

Weichen Xu + 1 · Publicado 2024-11-25 · Atualizado 2024-11-27 · CVE-2024-27134

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.3

Alta

Vetor base

AV:L/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

MLflow (versões afetadas não especificadas)

Descrição

O problema diz respeito a permissões excessivas de diretório no MLflow, o que pode levar à escalada de privilégios locais ao usar spark udf. Esse comportamento pode ser explorado por um invasor local para obter permissões elevadas por meio de um ataque do tipo Time-of-Check-to-Time-of-Use (ToCToU). O problema só é relevante quando a API spark udf() do MLflow é chamada.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

LPE

Incorrect Default Permissions

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-276

CWE-367

Identificadores relacionados

BIT-MLFLOW-2024-27134

CVE-2024-27134

GHSA-QPGC-W4MG-6V92

PYSEC-2024-224

Produtos afetados

Mlflow

Referências · 10

• https://github.com/mlflow/mlflow · Nota
• https://github.com/mlflow/mlflow/pull/10874 · Correção
• https://github.com/mlflow/mlflow/commit/0b1d995d66a678153e01ed3040f3f4dfc16a0d6b · Nota
• https://t.me/latest_high_impact_cve/1560 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-27134 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-mlflow-2024-27134 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-27134 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1861051444037853302 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2024-224 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qpgc-w4mg-6v92 · Aviso do Fabricante