CVE-2024-3573

mlflow/mlflow (versões afetadas não especificadas)

O problema decorre da falha da função is local uri em lidar adequadamente com URIs com esquemas vazios ou do tipo ‘file’, levando à classificação incorreta dessas URIs como não locais. Os invasores podem explorar essa falha criando versões maliciosas do modelo com parâmetros source especialmente criados, permitindo a leitura de arquivos confidenciais em pelo menos dois níveis de diretório a partir da raiz do servidor. Isso permite que os invasores contornem as verificações e leiam arquivos arbitrários no sistema.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.