מקור: CERT/CC Vulnerability Notes
נחשפה פגיעות אבטחה משמעותית בפלטפורמת הקוד הפתוח MLflow, המשמשת לניהול מחזורי חיים של מודלי למידת מכונה. הפגיעות מאפשרת עקיפה של מנגנון בקרת האבטחה MLFLOW_ALLOW_PICKLE_DESERIALIZATION שנועד למנוע טעינת קבצי pickle מסוכנים. התקלה קיימת בשימוש ברכיבי dspy ו-statsmodels, כאשר האחרון כלל אינו בודק את הגדרות האבטחה. ניצול מוצלח של פרצה זו מאפשר לתוקפים להריץ קוד מרחוק על גבי המערכת במקרים שבהם יש להם גישה לכתיבת מודלים. גרסה 3.15.0 של MLflow מכילה תיקון עבור רכיב ה-statsmodels, בעוד שמשתמשים ברכיב ה-dspy מתבקשים להימנע משימוש בו עד לפרסום עדכון תוכנה מתאים שיסגור את הפרצה באופן מלא.
