要点
- CVE-2025-10279 は mlflow, mlflow (lfprojects) に影響する深刻度「高」 (CVSS 7.0) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：0.24%（全脆弱性の 15.2% より高い）。
- 対処：3.4.0rc0, 3.4.0 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| mlflow PyPI | < 3.4.0rc0
| 3.4.0rc0
|
| mlflow | < 3.4.0
| 3.4.0
|
概要
In mlflow version 2.20.3, the temporary directory used for creating Python virtual environments is assigned insecure world-writable permissions (0o777). This vulnerability allows an attacker with write access to the /tmp directory to exploit a race condition and overwrite .py files in the virtual environment, leading to arbitrary code execution. The issue is resolved in version 3.4.0.
NVD の説明
In mlflow version 2.20.3, the temporary directory used for creating Python virtual environments is assigned insecure world-writable permissions (0o777). This vulnerability allows an attacker with write access to the `/tmp` directory to exploit a race condition and overwrite `.py` files in the virtual environment, leading to arbitrary code execution. The issue is resolved in version 3.4.0.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン