CVE-2023-1177 (MLFlow Path Traversal)

Informazioni su MLflow

MLflow è una piattaforma open-source per la gestione dell'intero ciclo di vita del machine learning.

Funzioni principali:

MLflow gestisce quattro funzioni principali:

Tracciamento degli esperimenti per registrare e confrontare parametri e risultati (MLflow Tracking).

Impacchettamento del codice ML in una forma riutilizzabile e riproducibile, da condividere con altri data scientist o trasferire in produzione (MLflow Projects).

Gestione e distribuzione di modelli da una varietà di librerie ML a una varietà di piattaforme di serving e inferenza dei modelli (MLflow Models).

Fornitura di un repository centrale di modelli per gestire in modo collaborativo l'intero ciclo di vita di un modello MLflow, inclusi versionamento dei modelli, transizioni di fase e annotazioni (MLflow Model Registry).

Indipendente dalle librerie: MLflow è indipendente dalle librerie, il che significa che può essere utilizzato con qualsiasi libreria di machine learning e in qualsiasi linguaggio di programmazione, poiché tutte le funzioni sono accessibili tramite API REST e CLI.

API: Il progetto include un'API Python, un'API R e un'API Java per comodità.

Fonte: https://mlflow.org/docs/latest/index.html

CVE-2023-1177

È stata trovata una vulnerabilità di path traversal in MLflow. Il path traversal è un tipo di vulnerabilità web che consente a un attaccante di accedere a file e directory situati al di fuori della directory prevista. Gli attaccanti utilizzano varie tecniche per sfruttare questa vulnerabilità e ottenere accesso non autorizzato a dati sensibili o eseguire codice arbitrario. Gli attacchi di path traversal possono essere prevenuti tramite la validazione dell'input e misure di controllo degli accessi.