🇰🇷 한글 설명
mlflow의 basic-auth 앱이 활성화된 최신 버전에서 트레이싱 및 평가 엔드포인트에 권한 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 실험에 대한 권한이 없는 인증된 사용자라도 트레이스 정보를 읽거나 평가를 생성할 수 있어 기밀성과 무결성이 침해될 수 있습니다.
💡 쉬운 설명
로그인만 하면 권한이 없는 데이터까지 몰래 볼 수 있는 보안 구멍이 발견되었습니다. 인증된 사용자라면 누구나 다른 사람의 작업 기록을 훔쳐보거나 조작할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
In the latest version of mlflow/mlflow, when the `basic-auth` app is enabled, tracing and assessment endpoints are not protected by permission validators. This allows any authenticated user, including those with `NO_PERMISSIONS` on the experiment, to read trace information and create assessments for traces they should not have access to. This vulnerability impacts confidentiality by exposing trace metadata and integrity by allowing unauthorized creation of assessments. Deployments using `mlflow server --app-name=basic-auth` are affected.
📍 영향받는 시스템
mlflow (basic-auth 앱을 사용하는 최신 버전)
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 없는 트레이싱 및 평가 엔드포인트에 직접 접근하여 데이터 탈취 및 생성
🛡️ 대응 방법
mlflow를 보안 패치가 적용된 최신 버전으로 업데이트하거나 권한 검증이 적용된 설정을 적용하십시오.
🔧 검증 코드
출력된 mlflow 버전을 확인하여 취약점이 해결된 최신 패치 버전인지 확인하십시오.
pip show mlflow | grep Version