CVE-2024-1483

mlflow/mlflow versão 2.9.2

Existe uma vulnerabilidade de traversal de caminho, permitindo que invasores acessem arquivos arbitrários no servidor. Ao criar uma série de solicitações HTTP POST com parâmetros artifact location e source especialmente criados, usando uma URI local com ‘#’ em vez de ‘?’, um invasor pode percorrer a estrutura de diretórios do servidor. O problema ocorre devido à validação insuficiente das entradas fornecidas pelo usuário nos manipuladores do servidor.

Para o mlflow/mlflow versão 2.9.2, como solução temporária, considere desativar o tratamento de URIs locais com ‘#’ para minimizar o risco de exploração. Restrinja o acesso a arquivos e diretórios confidenciais no servidor para impedir o acesso não autorizado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.