检测

MLflow 默认凭据

critical Web App Scanning 插件 ID 114323

语言：

简介

MLflow 默认凭据

描述

默认情况下，MLflow 不需要身份验证即可访问应用程序。在启用身份验证时，MLflow 将使用默认凭据强制执行基本身份验证。如果未更新，则未经认证的远程攻击者可访问 MLflow UI 并在其上执行任意操作。

解决方案

不应使用默认或可预测的凭据为应用程序配置帐户。应定义复杂的密码策略并对应用程序中可用的每个帐户强制执行策略，以防止攻击者猜测密码和未经授权访问应用程序。

另见

https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html

https://en.wikipedia.org/wiki/Password_strength

https://mlflow.org/docs/latest/auth/index.html

插件详情

严重性: Critical

ID: 114323

类型: remote

发布时间: 2024/6/26

最近更新时间: 2024/6/26

扫描模板: basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 6.0

CVSS v2

风险因素: Critical

基本分数: 10

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 分数来源: Tenable

CVSS v3

风险因素: Critical

基本分数: 10

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

CVSS 分数来源: Tenable

漏洞信息

CPE: cpe:2.3:a:lfprojects:mlflow:*:*:*:*:*:*:*:*

易利用性: No known exploits are available

参考资料信息