Vulnerabilidad en mlflow/mlflow (CVE-2024-3573)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

16/04/2024

Última modificación:

03/02/2025

Descripción

mlflow/mlflow es vulnerable a la inclusión de archivos locales (LFI) debido a un análisis inadecuado de los URI, lo que permite a los atacantes eludir las comprobaciones y leer archivos arbitrarios en el sistema. El problema surge de la falla de la función &#39;is_local_uri&#39; para manejar adecuadamente los URI con esquemas vacíos o de &#39;archivo&#39;, lo que lleva a la clasificación errónea de los URI como no locales. Los atacantes pueden aprovechar esto creando versiones de modelos maliciosos con parámetros de "fuente" especialmente manipulados, lo que permite la lectura de archivos confidenciales dentro de al menos dos niveles de directorio desde la raíz del servidor.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.30 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno