CVE-2026-4035
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w mlflow/mlflow przed wersją 3.11.0 pozwala na rozwiązywanie zmiennych środowiskowych w sekretach AI Gateway, co umożliwia wyciek wrażliwych danych uwierzytelniających serwera do kontrolowanego przez atakującego punktu końcowego. Problem wynika z akceptowania przez pole `api_key` referencji `$ENV_VAR`, które są rozwijane w środowisku serwera MLflow podczas działania.
Ocena ryzyka
Ryzyko obejmuje potencjalny wyciek wrażliwych danych uwierzytelniających, takich jak klucze dostępu do chmury (np. `AWS_ACCESS_KEY_ID`, `AWS_SECRET_ACCESS_KEY`), co może prowadzić do zatrucia artefaktów i wykonania kodu poza granicami w środowiskach podrzędnych.
Rekomendacja
Należy niezwłocznie zaktualizować mlflow do wersji 3.11.0 lub nowszej. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp do AI Gateway oraz wdrożyć uwierzytelnianie podstawowe (basic-auth) i kontrolować uprawnienia użytkowników.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in mlflow/mlflow versions prior to 3.11.0 allows for the resolution of environment variables in AI Gateway secrets, which can be exploited to exfiltrate sensitive server-side environment credentials to an attacker-controlled endpoint. This issue arises because the `api_key` field in gateway secrets can accept `$ENV_VAR` references, which are resolved against the MLflow server's environment during runtime. The resolved secrets are then sent in provider authentication headers to the configured upstream `api_base`. This vulnerability can be exploited by low-privileged authenticated users in basic-auth deployments or by unauthenticated users in default deployments without `basic-auth`. The impact includes potential leakage of sensitive credentials such as cloud artifact credentials (`AWS_ACCESS_KEY_ID`, `AWS_SECRET_ACCESS_KEY`), which could lead to artifact poisoning and cross-boundary code execution in downstream environments. The issue is fixed in version 3.11.0.