CVE-2024-37055

ALT: (8,8)

CVSS3: 7,7

MLflow MLflow podria permetre a un atacant remot executar codi arbitrari al sistema, causat per la desserialització de dades no fiables dins del fitxer pmdarima/__init__.py, dins de la funció _load_model. En injectar un objecte pickle maliciós en un fitxer model durant la càrrega, un atacant podria explotar aquesta vulnerabilitat per executar codi arbitrari a la màquina víctima.

Sistemes Afectats

• MLflow MLflow 1.24.0

Remediació
No hi ha cap recurs disponible a partir del 4 de juny del 2024.

Referències

• Pickle Load on Pmdarima Model Load Leading to Code Execution
• Deserialization of untrusted data can occur in versions of the MLflow platform running version 1.24.0 or newer, enabling a maliciously uploaded pmdarima model to run arbitrary code on an end user’s system when interacted with.