Aktywnie wykorzystywana w atakach
MLflow Server-Side Request Forgery Vulnerability
MLflow - MLflow · Figuruje w katalogu CISA KEV od 2026-08-19. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-64849
KrytyczneCVSS 9.3KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
MLflow to platforma AI o otwartym kodzie źródłowym. Przed wersją 3.15.0, nieuwierzytelniony endpoint POST /api/2.0/mlflow/webhooks/{id}/test wywołuje _validate_webhook_url() w mlflow/utils/validation.py tylko dla oryginalnego URL, podczas gdy mlflow/webhooks/delivery.py podąża za przekierowaniami i ponownie rozwiązuje nazwę hosta bez przypinania zweryfikowanego adresu, co pozwala atakującym na dotarcie do wewnętrznych usług lub usług metadanych chmury i otrzymanie response_status i response_body. Problem został naprawiony w wersji 3.15.0.
Ocena ryzyka
Ryzyko polega na możliwości dotarcia do wewnętrznych usług lub metadanych chmury, co może prowadzić do wycieku wrażliwych informacji lub eskalacji uprawnień.
Rekomendacja
Zaleca się jak najszybszą aktualizację MLflow do wersji 3.15.0.
Inne podatności w MLflow
Zobacz wszystkie- CVE-2026-2393Wysokie
W wersjach MLflow przed 3.9.0 występuje podatność typu Server-Side Request Forgery (SSRF). Funkcja `_create_webhook()` akceptuje parametr `url` kontrolowany przez użytkownika bez walidacji, co pozwala atakującemu na wymuszenie wysyłania żądań HTTP do wewnętrznych usług lub zewnętrznych serwerów.
- CVE-2026-2651Krytyczne
Podatność w MLflow w wersjach do 3.10.1.dev0 umożliwia nieautoryzowany dostęp do endpointów przesyłania wieloczęściowego (MPU) przy włączonym trybie `--serve-artifacts`. Logika autoryzacji nie wymusza sprawdzania uprawnień na poziomie zasobów dla endpointów `/mlflow-artifacts/mpu/*`, co pozwala atakującym nadpisywać artefakty innych użytkowników. Może to prowadzić do nieautoryzowanego zapisu między użytkownikami, zatrucia łańcucha dostaw modeli oraz zdalnego wykonania kodu po załadowaniu skompromitowanych modeli.
- CVE-2026-2611Krytyczne
W MLflow w wersji 3.9.0 funkcja Asystenta MLflow zawiera podatność polegającą na nieprawidłowej walidacji pochodzenia żądań w punktach końcowych /ajax-api. Umożliwia to zdalnemu atakującemu wykorzystanie żądań międzyoriginowych ze złośliwej strony internetowej do interakcji z Asystentem MLflow działającym na lokalnym komputerze ofiary.
- CVE-2026-0545Krytyczne
W mlflow/mlflow endpointy FastAPI dla zadań pod `/ajax-api/3.0/jobs/*` nie są chronione uwierzytelnianiem ani autoryzacją, gdy włączona jest aplikacja `basic-auth`. Nawet jeśli włączono uwierzytelnianie podstawowe, każdy klient sieciowy może bez poświadczeń przesyłać, odczytywać, wyszukiwać i anulować zadania.
- CVE-2025-15379Krytyczne
W MLflow w wersji 3.8.0 wykryto podatność na wstrzykiwanie poleceń w kodzie inicjalizującym kontener serwowania modeli. Funkcja `_install_model_dependencies_to_env()` bezpośrednio interpoluje zależności z pliku `python_env.yaml` do polecenia powłoki bez sanityzacji, co umożliwia atakującemu wykonanie dowolnych poleceń poprzez dostarczenie złośliwego artefaktu modelu.
- CVE-2025-15036Krytyczne
W bibliotece mlflow przed wersją 3.7.0 wykryto podatność na ścieżkę przejścia (path traversal) w funkcji `extract_archive_to_dir`. Brak walidacji ścieżek wewnątrz archiwum tar pozwala atakującemu na nadpisanie dowolnych plików lub eskalację uprawnień.
- CVE-2025-15031Krytyczne
Podatność w procesie ekstrakcji pyfunc w MLflow umożliwia zapis dowolnych plików z powodu nieprawidłowego obsługiwania wpisów archiwum tar. Użycie `tarfile.extractall` bez walidacji ścieżki pozwala spreparowanym plikom tar.gz zawierającym `..` lub ścieżki absolutne na opuszczenie docelowego katalogu ekstrakcji.
- CVE-2026-96804Wysokie
Flavor statsmodel w MLflow, wersje od 2.1.0 do 3.14.0, całkowicie pomija kontrolę bezpieczeństwa MLFLOW_ALLOW_PICKLE_DESERIALIZATION=False w funkcji _load_model(), co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany artefakt MLmodel.
- CVE-2026-96775Wysokie
Flavor dspy w MLflow w wersjach >= 2.0 stosuje kontrolę bezpieczeństwa MLFLOW_ALLOW_PICKLE_DESERIALIZATION=False tylko wtedy, gdy model_path kończy się na .pkl, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą spreparowanego artefaktu MLmodel.
- CVE-2026-79721Wysokie
Wykonanie kodu może wystąpić w wersjach platformy MLflow od wersji 0.0.1 lub nowszych, umożliwiając złośliwie spreparowanemu artefaktowi modelu wykonanie dowolnego kodu na systemie użytkownika końcowego po załadowaniu przez projekt.
Oryginalny opis (angielski, źródło NVD)
MLflow is an open source AI engineering platform for agents, large language models, and machine learning models. Prior to 3.15.0, the unauthenticated POST /api/2.0/mlflow/webhooks/{id}/test endpoint calls _validate_webhook_url() in mlflow/utils/validation.py only for the original URL while mlflow/webhooks/delivery.py follows redirects and re-resolves the hostname without pinning the validated address, allowing attackers to reach internal or cloud metadata services and receive response_status and response_body. This issue is fixed in version 3.15.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS