Vuln replication-mlflow ver 2.1.1-prep by Saima.pdf

MLflow 漏洞

MLflow LFI/RFI 漏洞 - CVE-2023-1177 - 已复现

MLflow 是机器学习系统中用于管理端到端机器学习生命周期的热门工具之一。我测试了 MLflow 的安全性，并复现了一个结合了本地文件包含/远程文件包含的漏洞，该漏洞可能导致整个系统或云服务提供商的沦陷。MLflow 2.2.1 之前的版本存在本地文件包含漏洞，原因是其用于获取模型版本和注册模型的 API 对用户输入的清理不足。攻击者可利用此漏洞读取服务器文件系统上的任意文件。

影响：

1. 泄露服务器敏感文件信息（例如，配置文件、密钥）。
2. 若攻击者能够未经授权访问关键系统文件，可能导致系统沦陷。

缓解措施：

1. 升级至 MLflow 2.2.1 或更高版本（修复该漏洞）。
2. 为你的 MLflow 服务器实施访问控制措施。