MLflow 是由 Apache Spark 技术团队开源的一个机器学习平台。

漏洞详情
MLflow 低于2.9.2版本存在任意文件读取漏洞（CVE-2023-6977），漏洞允许攻击者读取MLflow服务器上的敏感文件。攻击者可以通过利用此漏洞获取未经授权的访问权限，从而读取服务器上存储的敏感信息，可能导致隐私泄露、信息窃取以及其他潜在的安全问题。

影响范围
MLflow < 2.9.2

漏洞复现



修复建议
升级到安全版本。

产品支持
云安服-安全监测平台：默认支持该产品的指纹识别，已更新漏洞检测规则，已支持该漏洞的在线检测。

参考链接
https://github.com/mlflow/mlflow/commit/4bd7f27c810ba7487d53ed5ef1038fca0f8dc28c4