Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en mlflow/mlflow (CVE-2024-2928)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
06/06/2024
Última modificación:
11/10/2024

Descripción

Se identificó una vulnerabilidad de inclusión de archivos locales (LFI) en mlflow/mlflow, específicamente en la versión 2.9.2, que se solucionó en la versión 2.11.3. Esta vulnerabilidad surge de la falla de la aplicación al validar adecuadamente los fragmentos de URI para secuencias de directory traversal como '../'. Un atacante puede aprovechar esta falla manipulando la parte del fragmento del URI para leer archivos arbitrarios en el sistema de archivos local, incluidos archivos confidenciales como '/etc/passwd'. La vulnerabilidad es una omisión de un parche anterior que solo abordaba una manipulación similar dentro de la cadena de consulta del URI, destacando la necesidad de una validación integral de todas las partes de un URI para prevenir ataques LFI.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:lfprojects:mlflow:*:*:*:*:*:*:*:* 2.11.3 (excluyendo)