🇰🇷 한글 설명
MLflow의 Experiment-scoped Label Schema CRUD API 내 미확인 함수에서 권한 부여 누락 취약점이 발견되었습니다. 공격자는 원격에서 복잡한 과정을 거쳐 이 취약점을 악용할 수 있으며, 현재 해당 기능의 인증 핸들러가 구현되지 않은 상태입니다.
💡 쉬운 설명
MLflow라는 프로그램의 특정 기능에서 사용자 권한을 확인하는 절차가 빠져 있는 보안 결함이 발견되었습니다. 해커가 복잡한 방법을 사용하면 멀리서도 이 시스템의 설정을 마음대로 조작할 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in MLflow up to 4666cffc7912ea606d592fc38d6a75e2935f65e7. The impacted element is an unknown function of the component Experiment-scoped Label Schema CRUD API. Such manipulation leads to missing authorization. It is possible to launch the attack remotely. A high complexity level is associated with this attack. The exploitability is regarded as difficult. The exploit has been disclosed to the public and may be used. A reply to the GitHub issue explains, that "[t]he labeling schema PR has not been merged yet. The auth handlers will be added before the release."
📍 영향받는 시스템
MLflow (commit hash 4666cffc7912ea606d592fc38d6a75e2935f65e7 포함 이전 버전)
⚔️ 공격 벡터
원격에서 API를 통한 권한 우회 및 데이터 조작
🛡️ 대응 방법
MLflow를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 인증 핸들러가 포함된 최신 릴리스를 적용하십시오.
🔧 검증 코드
출력된 MLflow 버전을 확인하여 취약점이 해결된 최신 버전인지 대조하십시오.
pip show mlflow | grep Version