MLflow のトラッキングサーバーで、認証なしに任意の Python コードを実行される

何が起きたか

3.12.0 で入ったサードパーティ scorer の読み込み処理が、リクエストで指定されたモジュールを import してクラスを生成するため、実験の作成とアーティファクトのアップロードを組み合わせると、認証なしのサーバー（mlflow server の既定）で任意の Python コードを実行されます。同じ期間に、プロンプトとして登録したモデルバージョンの source に相対パスを指定すると、サーバー上の任意のファイルを読み出せる欠陥（3.10.0〜3.16.1）も公表されました。basic-auth を有効にした構成でも、権限の低いユーザーが認証データベースを読める可能性があります。