CVE-2023-1177 (MLFlow Path Traversal)

À propos de MLflow

MLflow est une plateforme open-source permettant de gérer l'ensemble du cycle de vie du machine learning.

Fonctions principales :

MLflow couvre quatre fonctions principales :

Suivre les expériences pour enregistrer et comparer les paramètres et les résultats (MLflow Tracking).

Conditionner le code ML sous une forme réutilisable et reproductible afin de le partager avec d'autres data scientists ou de le transférer en production (MLflow Projects).

Gérer et déployer des modèles issus de diverses bibliothèques ML vers diverses plateformes de service et d'inférence de modèles (MLflow Models).

Fournir un référentiel central de modèles pour gérer en collaboration l'ensemble du cycle de vie d'un modèle MLflow, y compris le versionnage des modèles, les transitions d'étapes et les annotations (MLflow Model Registry).

Indépendant des bibliothèques : MLflow est indépendant des bibliothèques, ce qui signifie qu'il peut être utilisé avec n'importe quelle bibliothèque de machine learning et dans n'importe quel langage de programmation, car toutes les fonctions sont accessibles via une API REST et une CLI.

API : Le projet inclut une API Python, une API R et une API Java pour plus de commodité.

Source : https://mlflow.org/docs/latest/index.html

CVE-2023-1177

Une vulnérabilité de traversée de chemin (path traversal) a été découverte dans MLflow. La traversée de chemin est un type de vulnérabilité web qui permet à un attaquant d'accéder à des fichiers et des répertoires stockés en dehors du répertoire prévu. Les attaquants utilisent diverses techniques pour exploiter cette vulnérabilité et obtenir un accès non autorisé à des données sensibles ou exécuter du code arbitraire. Les attaques de traversée de chemin peuvent être évitées par la validation des entrées et des mesures de contrôle d'accès.