「MLflow」にパストラバーサルの脆弱性 - 過去の修正をバイパス

機械学習のライフサイクルを管理するプラットフォーム「MLflow」の旧版にパストラバーサルの脆弱性が明らかとなった。

「同2.3.0」より以前のバージョンにパストラバーサルの脆弱性「CVE-2023-2780」が明らかとなったもの。「CVE-2023-1177」に対する修正をバイパスできることに起因する脆弱性だという。

脆弱性情報の報告サイトである「huntr」では、共通脆弱性評価システム「CVSSv3.1」においてベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価している。

同脆弱性は4月18日にリリースされた「同2.3.0」にて修正された。なお「同2.3.0」においてもパストラバーサルの脆弱性「CVE-2023-2356」が判明しており、現地時間4月29日にリリースされた「同2.3.1」にて修正されている。

（Security NEXT - 2023/05/18 ）ツイート