CVE-2024-0520

सारांश

mlflow/mlflow संस्करण 8.2.1 में एक भेद्यता मौजूद है जो `mlflow.data.http_dataset_source.py` मॉड्यूल के भीतर OS कमांड में उपयोग किए गए विशेष तत्वों के अनुचित निष्प्रभावीकरण ('कमांड इंजेक्शन') के कारण रिमोट कोड निष्पादन की अनुमति देती है। विशेष रूप से, HTTP स्कीम वाले स्रोत URL से डेटासेट लोड करते समय, `Content-Disposition` हेडर या URL पथ से निकाला गया फ़ाइलनाम उचित सैनिटाइज़ेशन के बिना अंतिम फ़ाइल पथ उत्पन्न करने के लिए उपयोग किया जाता है। यह दोष एक हमलावर को पथ ट्रैवर्सल या निरपेक्ष पथ तकनीकों, जैसे '../../tmp/poc.txt' या '/tmp/poc.txt' का उपयोग करके फ़ाइल पथ को पूरी तरह से नियंत्रित करने में सक्षम बनाता है, जिससे मनमानी फ़ाइल लेखन होता है। इस भेद्यता का शोषण करने से एक दुर्भावनापूर्ण उपयोगकर्ता कमजोर मशीन पर कमांड निष्पादित कर सकता है, जिससे संभावित रूप से डेटा और मॉडल जानकारी तक पहुंच प्राप्त हो सकती है। यह समस्या संस्करण 2.9.0 में ठीक कर दी गई है।

• CVE-2024-0520_tryPoC

  CVE-2024-0520 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो भेद्यता को प्रदर्शित करता है और सुरक्षा परीक्षण तथा निवारण के लिए एक आधार प्रदान करता है।