CVE-2024-0520 in MLflow
Riassunto
di VulDB • 19/06/2026
Una vulnerabilità in mlflow/mlflow versione 8.2.1 consente l'esecuzione di codice remoto a causa della mancata neutralizzazione appropriata di elementi speciali utilizzati in un comando del sistema operativo ('Command Injection') all'interno del modulo `mlflow.data.http_dataset_source.py`. Nello specifico, durante il caricamento di un dataset da un URL di origine con schema HTTP, il nome del file estratto dall'intestazione `Content-Disposition` o dal percorso dell'URL viene utilizzato per generare il percorso del file finale senza una corretta sanificazione. Questa falla consente a un attaccante di controllare completamente il percorso del file utilizzando tecniche di traversal del percorso o di percorso assoluto, come '../../tmp/poc.txt' o '/tmp/poc.txt', portando a una scrittura di file arbitraria. Sfruttare questa vulnerabilità potrebbe consentire a un utente malintenzionato di eseguire comandi sulla macchina vulnerabile, potenzialmente ottenendo l'accesso ai dati e alle informazioni sui modelli. Il problema è stato risolto nella versione 2.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.