CVE-2024-1483 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Mlflow 存在**路径遍历漏洞**。 💥 **后果**：攻击者可**访问服务器任意文件**，导致敏感数据泄露。

🔍 **CWE**：CWE-22（路径遍历）。 🐛 **缺陷**：对用户输入**验证不足**，未过滤特殊字符。

📦 **组件**：mlflow/mlflow。 📅 **版本**：**2.9.2** 版本受影响。

🕵️ **权限**：无需特定高权限，利用输入缺陷即可。 📂 **数据**：可读取服务器上的**任意文件**内容。

📉 **门槛**：**低**。 ⚙️ **配置**：通过构造 HTTP POST 请求即可触发，利用 `artifact_location` 和 `source` 参数。

📜 **PoC**：有现成模板。 🔗 **来源**：ProjectDiscovery Nuclei 模板已提供利用代码。

🔎 **自查**：检查 Mlflow 版本是否为 **2.9.2**。 🛠️ **扫描**：使用支持 CVE-2024-1483 的 Nuclei 模板进行扫描。

🛡️ **修复**：数据未提及具体补丁版本。 ⚠️ **建议**：需关注官方更新，升级至修复版本。

🚧 **规避**：严格**校验用户输入**。 🚫 **限制**：禁止在 `artifact_location` 等参数中使用路径遍历序列。

⚡ **优先级**：**高**。 📢 **理由**：任意文件读取风险极大，且已有 PoC，建议立即排查。