Vulnerabilidad en mlflow/mlflow (CVE-2024-4263)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-284
Control de acceso incorrecto
Fecha de publicación:
16/05/2024
Última modificación:
16/05/2024
Descripción
Existe una vulnerabilidad de control de acceso roto en las versiones mlflow/mlflow anteriores a la 2.10.1, donde los usuarios con privilegios bajos y con solo permisos EDITAR en un experimento pueden eliminar cualquier artefacto. Este problema surge debido a la falta de una validación adecuada para las solicitudes DELETE realizadas por usuarios con permisos EDIT, lo que les permite realizar eliminaciones no autorizadas de artefactos. La vulnerabilidad afecta específicamente el manejo de eliminaciones de artefactos dentro de la aplicación, como lo demuestra la capacidad de un usuario con privilegios bajos de eliminar un directorio dentro de un artefacto mediante una solicitud DELETE, a pesar de que la documentación oficial indica que los usuarios con permiso EDITAR solo pueden leer y actualizar. artefactos, no eliminarlos.
Impacto
Puntuación base 3.x
5.40
Gravedad 3.x
MEDIA