MLflow statsmodels 模型格式略過 pickle 安全開關:載入惡意模型就可能執行任意程式碼

影響範圍

這個漏洞的核心是「繞過使用者自己打開的禁用設定」。依 MLflow 原始碼,MLFLOW_ALLOW_PICKLE_DESERIALIZATION 預設是 True,也就是預設允許讀取 pickle;CVE 紀錄、CERT/CC 與 MLflow GHSA 描述的都是使用者設成 False 之後,statsmodels 格式仍照樣讀取。

受影響範圍的寫法略有不同:CVE 描述寫「2.1.0 到 3.14.0」;CVE 紀錄的結構化欄位寫 2.1 起、3.15.0 以前;MLflow GHSA 寫 2.1.0 以上受影響、3.15.0 修補。CERT/CC 公告指出,這個問題曾在 MLflow 3.12.0 上確認。

要被攻擊,通常需要同時滿足:你設定了 MLFLOW_ALLOW_PICKLE_DESERIALIZATION=False;攻擊者能寫入你取用模型的地方(例如 artifact store,存放模型檔案的儲存區);該模型的 MLmodel 設定檔指定用 statsmodels 格式載入;你的程式載入它。CERT/CC 公告以 mlflow.pyfunc.load_model() 說明攻擊路徑;依 MLflow 3.14.0 原始碼(mlflow/statsmodels/init.py),pyfunc 載入時呼叫的 _load_pyfunc() 與直接呼叫的 mlflow.statsmodels.load_model() 都會走到同一個沒有檢查的 _load_model(),所以兩種載入方式都受影響。依 GHSA 說明,沒有使用 basic-auth 應用的預設 MLflow 部署不需登入,上傳檔案不需帳密。

原理

MLflow 用「格式」(flavor)來存取不同函式庫訓練出的模型。依 MLflow 文件,statsmodels 格式內部用 pickle 存模型。pickle 是 Python 的物件存檔格式,讀回不可信的 pickle 檔可能執行夾帶的程式碼,這類問題稱為不安全的反序列化(CWE-502)。

為此 MLflow 提供一個環境變數(程式啟動時讀取的設定)MLFLOW_ALLOW_PICKLE_DESERIALIZATION。它預設是 True,也就是允許讀取 pickle;設為 False 才會禁止。問題在於 statsmodels 格式的 _load_model() 完全沒有檢查這個設定。管理者以為已經擋住 pickle 風險,這個格式卻默默照樣讀取。結果是:遠端攻擊者只要提供一個竄改過的模型,就可能在載入時以該程式的權限執行任意程式碼。

有問題的思路(概念示意,不是原始程式碼):

def _load_model(path):
    # 沒有檢查安全開關,直接讀取 pickle
    return read_pickle(path)

修好的思路:

def _load_model(path):
    if not pickle_deserialization_allowed():
        raise SecurityError("pickle 讀取已被停用")
    return read_pickle(path)

時間軸

延伸閱讀

• CVE 編號對應有爭議。 CERT/CC 公告 VU#369093 原文(不只是轉載版本)先講 dspy 漏洞、再講 statsmodels 漏洞,接著說兩者「分別」是 CVE-2026-96804 與 CVE-2026-96775,照字面讀會讓本 CVE 變成 dspy 漏洞。官方 CVE 紀錄則把 CVE-2026-96804 對應到 statsmodels,Strix 也把 CVE-2026-96775 列為 dspy 漏洞。CERT/CC 同時是這個 CVE 的發布單位(CNA),它的公告與它發布的 CVE 紀錄彼此不一致。本頁依 CVE 紀錄把 CVE-2026-96804 對應到 statsmodels。
• 與 MLflow 公告的關係。 CERT/CC 公告 VU#369093 在參考資料中列出 MLflow 的安全公告 GHSA-gqvg-gmmx-x4hm,該公告描述的正是 statsmodels 格式略過 pickle 防護的問題。CVE 在 GitHub 上另有一筆未審查的公告 GHSA-2qmw-5xhm-qq5w。本頁的首次公開日期採用較早的 GHSA-gqvg-gmmx-x4hm 發布日 2026-07-27;CVE 則在 2026-09-23 公開。
• 評分差異。 CVE 紀錄中 CISA 評為 8.8,向量是需低權限、不需使用者操作;GHSA(OSV、GitLab)同樣 8.8,但向量是不需權限、需使用者操作。NVD 狀態為「Deferred」,沒有自行分析。
• 利用情況。 不在 CISA KEV;CISA 評估為沒有已知利用、無法自動化、技術影響為完全。是否有公開概念驗證程式:TheHackerWire 說尚未確認;另有第三方網站聲稱已有,但其頁面含可執行的攻擊程式碼,本頁不列為來源。修補前是否遭利用,沒有來源提供證據。
• 協調。 CERT/CC 公告表示無法聯繫上 MLflow 協調這些漏洞。
• 相關漏洞。 CERT/CC 表示 dspy 格式有類似的繞過問題,當時尚未修補。MLflow 後續的 PR #25566(2026-09-03 合併)以 statsmodels 的做法為範本,替 mlflow.shap 格式補上相同的防護;這個 PR 只修改 shap 格式。