Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-64849 CISA KEV critical CVSS 9.3

[KEV] SSRF (Falsification de requête côté serveur) dans mlflow (CVE-2026-64849)

Résumé

SSRF dans mlflow (CVE-2026-64849). Des informations confidentielles peuvent être exposées. Exploitable via POST /api/2.0/mlflow/webhooks/{id}/test. Inscrit au CISA KEV — exploitation active confirmée. Atténuation : mise à jour vers 3.15.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

The default MLflow Tracking Server (mlflow server, no authentication, default SQLite backend) exposes the model-registry webhooks API unauthenticated, including a synchronous POST /api/2.0/mlflow/webhooks/{id}/test endpoint that returns the upstream response status and body to the caller. The SSRF guard added in PR #20747 (_validate_webhook_url, shipped in 3.10.0) resolves the webhook hostname and rejects non-public IPs, but it is bypassable: delivery follows HTTP redirects (no allow_redirects=False) and never pins the validated IP. An attacker hosts a public HTTPS endpoint that passes the guard and returns 302 Location: http://169.254.169.254/... (or http://127.0.0.1:...); MLflow follows it and never re-validates the redirect target. Because /test reflects the response body, this is an unauthenticated full-read SSRF on a default server.

Details

Three facts combine:

  1. Webhook endpoints are unauthenticated on a default server. The only webhook authorization lives in the optional auth plugin (mlflow/server/auth/__init__.py, WEBHOOK_BEFORE_REQUEST_HANDLERS), which is not loaded by default.

  2. The guard validates but pins nothing — mlflow/utils/validation.py _validate_webhook_url:

schemes = _MLFLOW_WEBHOOK_ALLOWED_SCHEMES.get()        # default ["https"]
if parsed_url.scheme not in schemes: raise ...
if not _MLFLOW_WEBHOOK_ALLOW_PRIVATE_IPS.get():        # default False
    for addr_info in socket.getaddrinfo(hostname, None):…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory CISA KEV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-64849 a été découverte dans mlflow.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /api/2.0/mlflow/webhooks/{id}/test à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 9.3/10.
Note : la CISA a officiellement confirmé que cette faille est activement exploitée. À traiter avec une urgence élevée.
Action : mettez à jour mlflow vers 3.15.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « mlflow CVE-2026-64849 » sur le site de l'éditeur.

CVE-2026-64849 (mlflow) — CWE-918 / CVSS v3 9.3
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : POST /api/2.0/mlflow/webhooks/{id}/test / POST /api/2.0/mlflow/webhooks / POST /api/2.0/mlflow/webhooks/ / _validate_webhook_url
Correctif : 3.15.0 — appliquer immédiatement
Inscrit au CISA KEV — exploitation active confirmée, priorité absolue.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une SSRF (CWE-918) affecte mlflow. Les attaquants atteignent le code vulnérable via POST /api/2.0/mlflow/webhooks/{id}/test sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de mlflow. Surface d'attaque : POST /api/2.0/mlflow/webhooks/{id}/test / POST /api/2.0/mlflow/webhooks / POST /api/2.0/mlflow/webhooks/ / _validate_webhook_url.

🔥 Gravité

Gravité : Critique (CVSS 9.3/10). Des informations confidentielles peuvent être exposées. Inscrit au CISA KEV — exploitation active confirmée, à traiter en priorité absolue.

🔧 Comment corriger

Mettre à jour vers 3.15.0.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers POST /api/2.0/mlflow/webhooks/{id}/test (en-têtes d'auth malformés, méta-caractères SQL). Auditez les fichiers de dépendances pour trouver mlflow.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'mlflow' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で mlflow を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Hunt for indicators of compromise detect 
    grep 'POST /api/2.0/mlflow/webhooks/{id}/test' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'

    アクセスログで POST /api/2.0/mlflow/webhooks/{id}/test への異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。

  3. 3
    Consider incident declaration escalate 
    Notify SOC / on-call

    CISA KEV登録済 = 実環境で悪用が観測されている。Step 2 で兆候があればインシデント対応宣言、無くてもパッチ適用までWAF強化を最優先で。

  4. 4
    Apply patch patch 
    Upgrade mlflow to 3.15.0

    ステージング環境で 3.15.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 2 で見つけた異常検知の続報チェックを含めること。

  5. 5
    Post-deployment verification verify 
    Replay attack against POST /api/2.0/mlflow/webhooks/{id}/test on staging to confirm patch closes the vector

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。

Paquets affectés

pip mlflow
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.15.0"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus