CVE-2024-37054

Resumen

La deserialización de datos que no son de confianza puede ocurrir en versiones de la plataforma MLflow que ejecutan la versión 0.9.0 o posterior, lo que permite que un modelo PyFunc cargado maliciosamente ejecute código arbitrario en el sistema de un usuario final cuando interactúa con él.

• CVE-2024-37054Exploit

  Prueba de concepto de exploit para CVE-2024-37054, una RCE por deserialización de pickle en MLflow Tracking Server. Atacantes autenticados pueden sobrescribir artefactos de modelos para lograr ejecución remota de código. Incluye orientación de detección y mitigación.

• CVE-2024-37054-PoCPoC

  Exploit de prueba de concepto para CVE-2024-37054, una vulnerabilidad crítica de deserialización en MLflow. Incluye un script de exploit completo y un constructor de modelos maliciosos para pruebas de penetración autorizadas.

• CVE-2024-37054-MLflow-RCEPoC

  NiteeshPujari/CVE-2024-37054, Este repositorio contiene una prueba de concepto (PoC) de una vulnerabilidad crítica de deserialización en MLflow que permite la ejecución remota de código (RCE).

• CVE-2024-37054-MLflow-reverse-shellExploit

  Explotación para CVE-2024-37054: genera un modelo pickle malicioso, lo sube a MLflow y desencadena la ejecución remota de código a través del endpoint /predict.

• CVE-2024-37054Exploit

  CVE-2024-37054 exploit y documentación

• CVE-2024-37054-PoCPoC

  Repositorio de prueba de concepto e investigación para CVE-2024-37054, una vulnerabilidad de deserialización insegura en la carga de modelos PyFunc de MLflow que puede conducir a la ejecución remota de código.