MLflow Seite 2

Eine Schwachstelle in MLflow ermöglicht es laut NVD böswilligen Nutzern, sensible Dateien auf dem Server auszulesen. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

In MLflow kann ein Angreifer bereits mit einer einzigen Benutzerinteraktion – dem Herunterladen einer bösartigen Konfiguration – die vollständige Befehlsausführung auf dem System des Opfers erlangen. CVSS-Basiswert: 8.8 (Hoch).

Im GitHub-Repository mlflow/mlflow besteht vor Version 2.9.2 eine Path-Traversal-Schwachstelle, die das Verlassen des vorgesehenen Verzeichnisses erlaubt. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In MLflow vor Version 2.9.2 besteht eine Path-Traversal-Schwachstelle, über die ein Angreifer aus dem vorgesehenen Verzeichnis ausbrechen kann. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf MLflow 2.9.2.

Im GitHub-Repository mlflow/mlflow vor Version 2.9.2 besteht eine Path-Traversal-Schwachstelle. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf MLflow 2.9.2 oder neuer.

Im GitHub-Projekt mlflow besteht vor Version 2.9.2 eine unzureichende Neutralisierung von Sonderzeichen in einer Template-Engine. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf mlflow 2.9.2 oder neuer aktualisieren.

In MLflow bis einschliesslich Version 2.8.1 ermöglicht ein Fehler einem entfernten Angreifer, über eine präparierte Anfrage an die REST-API sensible Informationen zu erlangen. CVSS-Basiswert: 7.5 (Hoch).

MLflow erlaubte es laut Quelle, beliebige Dateien per PUT-Anfrage auf den Server hochzuladen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Im GitHub-Repository mlflow/mlflow besteht vor Version 2.6.0 laut NVD eine Schwachstelle durch OS-Command-Injection. Ein Angreifer kann darüber Betriebssystembefehle im Kontext des laufenden Prozesses einschleusen und ausführen. CVSS-Basiswert: 7.8 (Hoch); die Ausnutzung erfordert lokalen Zugriff mit niedrigen Rechten und ohne Nutzerinteraktion, gefährdet aber Vertraulichkeit, Integrität und Verfügbarkeit vollständig. Empfohlene Massnahme: auf Version 2.6.0 oder neuer aktualisieren.