🇰🇷 한글 설명
MLflow 3.12.0rc0부터 3.17.0 미만 버전에서 scorer invoke, register, GenAI evaluate 엔드포인트(인증 없이 접근 가능한 POST /ajax-api/3.0/mlflow/scorer/invoke 포함)가 직렬화된 서드파티 scorer 데이터를 모듈 경로 허용목록만으로 검증하여 역직렬화합니다. trulens 및 trulens-providers-litellm 패키지가 설치된 경우, 공격자는 LiteLLM 폴백을 통해 임의의 api_base와 api_key를 지정해 서버가 내부 또는 외부 호스트로 공격자가 제어하는 요청을 보내도록 만들 수 있습니다.
💡 쉬운 설명
MLflow라는 AI 모델 관리 도구에 로그인 없이 접근해, 서버가 공격자가 지정한 주소로 요청을 보내도록 조작할 수 있는 취약점입니다. 내부 네트워크 정보가 노출되거나 내부 서비스가 공격에 악용될 수 있습니다.
🇺🇸 원문 (English)
MLflow is an open source AI engineering platform for agents, large language models, and machine learning models. From 3.12.0rc0 until 3.17.0, the scorer invoke, register, and GenAI evaluate endpoints, including unauthenticated POST /ajax-api/3.0/mlflow/scorer/invoke, accept serialized third-party scorer data that Scorer.model_validate_json resolves using a module-path allowlist without constraining the selected class or its constructor arguments. When optional trulens and trulens-providers-litellm packages are installed, an attacker can select mlflow.genai.scorers.trulens, choose a model URI outside MLflow's native provider registry so execution uses the LiteLLM fallback, and supply api_base and api_key values that cause the server to send an outbound request to an attacker-chosen or internal host with attacker-controlled headers and body. The vulnerable deserialization occurs before a tracking-store lookup or job submission. This issue is fixed in version 3.17.0.
📍 영향받는 시스템
MLflow 3.12.0rc0 이상 3.17.0 미만, 그리고 trulens 및 trulens-providers-litellm 패키지가 설치된 환경
⚔️ 공격 벡터
인증 없이 scorer invoke 엔드포인트에 조작된 직렬화 데이터를 POST하여 서버가 내부/외부 호스트로 임의의 요청을 보내도록 유도 (SSRF)
🛡️ 대응 방법
MLflow를 3.17.0 이상으로 업그레이드하고, 해당 버전 전까지는 scorer 엔드포인트 접근을 네트워크 수준에서 차단하거나 trulens 관련 패키지를 제거
🔧 검증 코드
출력된 버전이 3.17.0 미만이면 취약하며, 3.17.0 이상이면 패치가 적용된 것입니다.
pip show mlflow 2>/dev/null | grep -i '^version'