CVE-2024-24592

Brak uwierzytelnienia w komponencie fileserver platformy ClearML

CVSS 9.8v3.1pub. 2024-02-06upd. 2024-11-21

Wszystkie wersje komponentu fileserver w platformie ClearML firmy Allegro AI nie wymagają uwierzytelnienia, co pozwala zdalnemu atakującemu na nieautoryzowany dostęp do plików. Podatność jest krytyczna, ponieważ umożliwia pełną manipulację plikami bez jakichkolwiek uprawnień.

▸ Pokaż oryginał (EN)

Lack of authentication in all versions of the fileserver component of Allegro AI’s ClearML platform allows a remote attacker to arbitrarily access, create, modify and delete files.

🤖 Analiza AI

Jak działa

Komponent fileserver platformy ClearML nie implementuje mechanizmów uwierzytelnienia (CWE-287) i nie weryfikuje, czy żądanie pochodzi od uprawnionego użytkownika (CWE-425 – wymuszone przeglądanie). Atakujący zdalnie, bez żadnych poświadczeń, może wysyłać żądania bezpośrednio do serwera plików. Pozwala to na odczyt, tworzenie, modyfikację oraz usuwanie dowolnych plików przechowywanych przez platformę.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w platformie MLOps, a także modyfikować lub usuwać pliki, co może prowadzić do naruszenia poufności, integralności i dostępności zasobów systemu ClearML.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do komponentu fileserver poprzez firewall lub segmentację sieci, tak aby był dostępny wyłącznie dla zaufanych hostów.

Kogo dotyczy

Wszystkie wersje komponentu fileserver platformy Allegro AI ClearML

Uwagi

Podatność została opisana przez badaczy z firmy HiddenLayer w ramach analizy bezpieczeństwa rozwiązań MLOps. Szczegóły techniczne dostępne są w publikacji badawczej HiddenLayer pod adresem wskazanym w referencjach.