MLflow allows an unauthenticated remote attacker to read arb…(CVE-2026-2614・CVSS 7.5)

概要

MLflow allows an unauthenticated remote attacker to read arbitrary files from the server's filesystem

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

A vulnerability in the _create_model_version() handler of mlflow/server/handlers.py in mlflow/mlflow versions 3.9.0 and earlier allows an unauthenticated remote attacker to read arbitrary files from the server's filesystem. The issue arises when a CreateModelVersion request includes the tag mlflow.prompt.is_prompt, which bypasses source path validation. This enables an attacker to store an arbitrary local filesystem path as the model version source. The get_model_version_artifact_handler() function later uses this source to serve files without verifying the model version's prompt status, leading to a complete confidentiality compromise. This issue is fixed in version 3.10.0.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

mlflowのバージョン3.9.0以前に、未認証のリモート攻撃者がサーバのファイルシステムから任意のファイルを読み取ることができる脆弱性が存在します。この問題は、CreateModelVersionリクエストに含まれる特定のタグがソースパスの検証を回避することに起因しています。これにより、攻撃者は任意のローカルファイルシステムパスをモデルバージョンのソースとして保存することが可能になります。この問題はバージョン3.10.0で修正されています。

❓ 何が問題か

mlflowの_create_model_version()における任意ファイル読み取りの脆弱性です。

📍 影響範囲

mlflowのバージョン3.9.0とそれ以前。

🔥 重要度

未認証の攻撃者により機密性が完全に破られるため、高度に重要です。

🔧 修正方法

mlflowをバージョン3.10.0にアップデートしてください。

🛡️ 暫定回避

情報なし

🔍 検知方法

影響を受けるバージョンを使用しているか確認し、サーバログ等で不正な活動の痕跡を探すこと。

影響パッケージ

pip mlflow

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.10.0"}]}]

PyPI mlflow

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.10.0"}]}]

Bitnami mlflow

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"3.10.0"}]}]