MLflow<2.9.1 存在SSTI漏洞-低调大师

MLflow<2.9.1 存在SSTI漏洞

2023-12-13 401

漏洞描述

MLflow 是用于管理机器学习生命周期的开源平台，recipes 是用于快速构建模型的框架。

MLflow 之前版本中由于直接使用 jinja2 模版引擎加载用户可控的模版配置文件构建 recipes 框架，当加载攻击者可控的恶意的配置文件时会受到SSTI注入攻击，攻击者可在远程主机执行任意代码。

2.9.1版本通过使用 SandboxedEnvironment 沙箱环境加载配置文件修复此漏洞。

漏洞名称	MLflow<2.9.1 存在SSTI漏洞
漏洞类型	模板注入
发现时间	2023-12-12
漏洞影响广度	小
MPS编号	MPS-sv6t-fu0k
CVE编号	CVE-2023-6709
CNVD编号	-

影响范围

mlflow@[0.0.1, 2.9.1)

修复方案

升级mlflow到 2.9.1 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-sv6t-fu0k

https://nvd.nist.gov/vuln/detail/CVE-2023-6709

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/270772

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

FileZilla Server 1.8.0 发布，开源 FTP 服务器

FileZilla Server 是一个免费开源的 FTP 和 FTPS 服务器，能够提供与服务器的安全加密连接。 FileZilla Server 1.8.0 正式发布，更新内容如下：错误修正和小改动自动禁止功能不再禁止因连接限制过多而无法登录的具有正确凭证的客户端在目录列表中报告正确的 mount points 时间戳修复了 1.8.0 中引入的回归，导致“Do not require authentication”不起作用的问题更新说明：https://filezilla-project.org/versions.php?type=server

2023-12-13

493

一、关于ECI 背景从2018年正式发布，ECI已经打磨了整整4个年头，如今也已经快速成长为了阿里云serverless容器的基础设施，服务着阿里内外众多的公有云客户与云产品，每天承接着数百万的弹性容器创建。然而，ECI这些年却未参与到集团双十一大促，双十一可以说是阿里技术人的阅兵，能不能承接住双十一的流量成为了检验一个产品是否稳定可靠的重要标准。但一切都是水到渠成，就在今年，ASI开始与ECI对接，尝试让ECI承接双十一大促的弹性的30W核算力，我们都知道双十一大促对于整个阿里集团的意义，使命将至，我们必将全身心地投入到对接、压测、护航的工作中。经过长达两个多月的业务适配、压测、备战，最终完成了双十一大促的弹性容器的圆满交付。这背后，离不开ASI、ECI以及参与到其中的每一位脚踏实地、用心钻研、保驾护航的同学的努力。ECI今年首次作为集团大促弹性基础设施，根据线上数据统计，大促期间ECI弹性资源使用共计约400W核，从资源的瞬时弹性、保有规模、系统稳定性等多方面对云原生系统都是一次巨大的考验。作为底层的计算单元，ECI此次也成功顶住了双十一弹性流量洪峰的考验，在感叹serverle...

2023-12-13

309

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。