🇰🇷 한글 설명
MLflow Tracking Server의 BEFORE_REQUEST_HANDLERS 설정에서 권한 확인이 누락되어, 인증된 원격 공격자가 권한 상승을 할 수 있는 취약점입니다. 정상적으로 보호되어야 할 리소스에 사용자가 접근할 수 있게 됩니다. (ZDI-CAN-32108)
💡 쉬운 설명
MLflow 서버에서 일부 기능에 접근할 때 권한 검사가 빠져 있습니다. 로그인한 사용자가 원래 접근할 수 없는 자원에도 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
MLflow Tracking Server Issues Missing Authorization Privilege Escalation Vulnerability. This vulnerability allows remote attackers to escalate privileges on affected installations of MLflow. Authentication is required to exploit this vulnerability.
The specific flaw exists within the configuration of the BEFORE_REQUEST_HANDLERS. The issue results from the lack of authorization prior to allowing access to functionality. An attacker can leverage this vulnerability to escalate privileges to resources normally protected from the user. Was ZDI-CAN-32108.
📍 영향받는 시스템
MLflow Tracking Server (해당 버전 상세 정보는 벤더 advisory 확인 필요)
⚔️ 공격 벡터
인증된 원격 사용자가 BEFORE_REQUEST_HANDLERS 설정의 권한 검사 누락을 이용해 보호된 리소스에 접근
🛡️ 대응 방법
벤더가 제공하는 최신 MLflow 버전으로 업그레이드하고, 인증 및 접근 제어 설정을 점검
🔧 검증 코드
출력된 Version 값을 벤더 advisory의 영향 버전 및 패치 버전과 비교하여, 영향 범위에 포함되면 취약한 것으로 판단
pip show mlflow 2>/dev/null | grep -i '^version'