Một lỗ hổng nghiêm trọng với điểm CVSS tuyệt đối mới được phát hiện trong trong nền tảng học máy Mlflow.  

Lỗ hổng có mã định danh CVE-2023-3765 (CVSS 10) là lỗ hổng bảo mật đường dẫn, xảy ra khi phần mềm không xác thực chính xác đầu vào của người dùng, cho phép hacker đưa mã độc vào hệ thống. 

MLflow là một nền tảng phổ biến để phát triển học máy, cho phép người dùng theo dõi các thử nghiệm, đóng gói code thành các lần chạy có thể lặp lại, đồng thời chia sẻ và triển khai các mô hình. 

CVE-2023-3765 cấp cho hacker toàn quyền kiểm soát hệ thống tệp của máy chủ. Hacker có thể sử dụng quyền kiểm soát này để thực hiện nhiều hành động khác nhau như liệt kê, đọc, viết và xóa tệp bằng cách khai thác các đường dẫn tệp tuyệt đối của Windows. Với toàn quyền kiểm soát hệ thống tệp, kẻ tấn công có thể đọc dữ liệu nhạy cảm, thao tác hoặc xóa các tệp quan trọng và làm gián đoạn các quy trình máy học, khiến các hoạt động bị đình trệ. 

Lỗ hổng CVE-2023-3765 được phát hiện bởi nhà nghiên cứu an ninh mạng Maksym Vatsyk, nhà nghiên cứu này cũng đã công bố mã khai thác PoC và chi tiết kỹ thuật cho lỗ hổng.  

CVE-2023-3765 ảnh hưởng đến các phiên bản MLflow 2.2.0 đến 2.3.1. Người dùng được khuyến nghị cập nhật lên phiên bản mới nhất càng sớm càng tốt để đảm bảo an toàn.  

Nguồn: Security Online