PT-2024-27273 · Mlflow · Mlflow

CVE-2024-37058 · Publicado 2024-06-04 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

MLflow versões 2.5.0 e posteriores

Descrição

A vulnerabilidade permite a desserialização de dados não confiáveis, possibilitando que um modelo Langchain AgentExecutor carregado de forma maliciosa execute código arbitrário no sistema do usuário final quando interagir com ele.

Recomendações

Para as versões 2.5.0 e posteriores do MLflow, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BIT-MLFLOW-2024-37058

CVE-2024-37058

GHSA-CWGG-W6MP-W9HG

PYSEC-2026-1648

Produtos afetados

Mlflow

Referências · 11

• 🔥 https://hiddenlayer.com/sai-security-advisory/mlflow-june2024 · Exploit
• https://github.com/mlflow/mlflow · Nota
• https://osv.dev/vulnerability/GHSA-cwgg-w6mp-w9hg · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-37058 · Aviso do Fabricante
• https://t.me/cvenotify/109653 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-1648 · Aviso do Fabricante
• https://pypi.org/project/mlflow · Nota
• https://osv.dev/vulnerability/BIT-mlflow-2024-37058 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-37058 · Nota de Segurança
• https://t.me/cvenotify/81908 · Publicação no Telegram
• https://github.com/advisories/GHSA-cwgg-w6mp-w9hg · Nota