CVE-2024-0520
Exécution de code à distance due à une écriture de fichier entièrement contrôlée dans mlflow/mlflow
- Publié
- 6 juin 2024
- Mise à jour
- 15 oct. 2025
- Attribution de CNA
- @huntr_ai
- Preuve observée
- 6 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 83,7 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Une vulnérabilité dans mlflow/mlflow version 8.2.1 permet l'exécution de code à distance en raison d'une neutralisation inadéquate des éléments spéciaux utilisés dans une commande OS (« injection de commande ») au sein du module `mlflow.data.http_dataset_source.py`. Plus précisément, lors du chargement d'un jeu de données depuis une URL source avec un schéma HTTP, le nom de fichier extrait de l'en-tête `Content-Disposition` ou du chemin de l'URL est utilisé pour générer le chemin de fichier final sans assainissement approprié. Cette faille permet à un attaquant de contrôler entièrement le chemin de fichier en utilisant des techniques de traversée de chemin ou de chemin absolu, telles que '../../tmp/poc.txt' ou '/tmp/poc.txt', conduisant à une écriture arbitraire de fichier. L'exploitation de cette vulnérabilité pourrait permettre à un utilisateur malveillant d'exécuter des commandes sur la machine vulnérable, et potentiellement d'obtenir un accès aux données et aux informations du modèle. Le problème est corrigé dans la version 2.9.0.
Sources
Exploit de preuve de concept pour CVE-2024-0520, démontrant la vulnérabilité et fournissant une base pour les tests de sécurité et la remédiation.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.