CVE-2026-64849: Kritische SSRF-Schwachstelle in MLflow vor Version 3.15.0

Zusammenfassung

Eine kritische Schwachstelle vom Typ Server-Side Request Forgery (SSRF) wurde in der Open-Source-KI-Plattform MLflow entdeckt. Der unauthentifizierte Endpunkt POST /api/2.0/mlflow/webhooks/{id}/test enthält eine Schwachstelle, die es Angreifern ermöglicht, Anfragen an interne Netzwerke und Cloud-Metadaten-Dienste zu senden. Die Schwachstelle betrifft alle MLflow-Versionen vor 3.15.0 und wurde mit einem CVSS-Score von 9.3 als kritisch eingestuft.

Technische Details

Die Schwachstelle liegt in der Kombination aus zwei Komponenten:

• Validation-Lücke: Die Funktion _validate_webhook_url() in mlflow/utils/validation.py validiert nur die ursprüngliche URL des Webhooks.
• Redirect-Following ohne Pinning: In mlflow/webhooks/delivery.py werden Redirects verfolgt und der Hostname wird ohne Anbindung an die validierte Adresse neu aufgelöst.

Ein Angreifer kann einen Webhook mit einer scheinbar harmlosen externen URL konfigurieren, die jedoch auf einen internen Dienst (z. B. 169.254.169.254 für Cloud-Metadaten) redirectet. Durch den Redirect wird die ursprüngliche Validierung umgangen. Die Response des internen Dienstes (inklusive response_status und response_body) wird anschließend an den Angreifer zurückgegeben.

Dies ermöglicht:

• Auslesen von Cloud-Metadaten (IAM-Credentials, API-Keys)
• Port-Scanning interner Netzwerke
• Zugriff auf interne Dienste, die keine zusätzliche Authentifizierung erfordern

Betroffene Systeme

• MLflow < 3.15.0
• Alle Installationen mit aktivierter Webhook-Funktionalität
• Systeme mit öffentlich zugänglichem MLflow-API-Endpunkt

Empfehlungen und Maßnahmen

1. Sofortiges Update: Aktualisieren Sie MLflow auf Version 3.15.0 oder höher. Der-fix wurde in GHSA-7gwp-5pfp-969j veröffentlicht.
2. Netzwerksegmentierung: Stellen Sie sicher, dass MLflow-Instanzen keinen direkten Zugriff auf interne Metadaten-Dienste oder sensible interne Systeme haben.
3. Zugriffskontrolle: Beschränken Sie den Zugriff auf den MLflow-API-Endpunkt über Netzwerk-ACLs oder einen Reverse-Proxy mit Authentifizierung.
4. Monitoring: Überwachen Sie ungewöhnliche Webhook-Konfigurationen und verdächtige Anfragen an den Test-Endpunkt.
5. Prüfung: Kontrollieren Sie, ob Webhooks in Ihrer Instanz auf interne Adressen zeigen.

Quellen

• GitHub Security Advisory GHSA-7gwp-5pfp-969j
• GitHub Issue #24179
• GitHub Pull Request #24258
• Fix-Commit ba94952
• MLflow v3.15.0 Release