MLflow-hull med CVSS 9.3 utnyttes aktivt for å stjele skylegitimasjon
Utnytter et SSRF-hull i MLflow med CVSS 9.3 til å hente cloud-legitimasjon fra interne metadata-endepunkter, timer etter at CVE-en ble tildelt.
«Angripere utnytter dette til å nå cloud metadata-tjenester direkte, og eksfiltrerer skylegitimasjon og hemmeligheter.» — watchTowr, sitert av The Hacker News
Sårbarheten heter CVE-2026-64849 og har CVSS-score 9.3. Den lar en uautentisert angriper som når MLflows Tracking Server sende HTTP-forespørsler til vilkårlige interne cloud metadata-endepunkter og trekke ut sensitive data. Alle versjoner under 3.15.0 er rammet. Ifølge watchTowr begynte aktørene å skanne bredt etter eksponerte MLflow-instanser innen timer etter at CVE-en ble tildelt 17. august 2026.
Mekanismen er verdt å merke seg for alle som selvhoster ML-infrastruktur. Feilen ligger i MLflows model-registry-webhooks, som lar angriperen proxye forespørsler gjennom det rammede systemet og snakke med interne tjenester.
«Sikkerhetsfeilen omgår tidligere rettelser på grunn av hvordan den håndterer web-redirects.» — Yordan Ganchev, principal threat intelligence specialist i watchTowr
Ganchev sier videre at telemetri fra watchTowrs globale honeypotter viser at angriperne går etter skyhostede MLflow-systemer for å hente legitimasjon og hemmeligheter fra velkjente interne IP-adresser og tjenester. Det er den forutsigbarheten som gjør angrepet billig: metadata-endepunktene ligger på samme adresser hos alle de store skyleverandørene.
The Hacker News melder om et parallelt tilfelle i samme runde. CVE-2026-25895 i FUXA, en åpen web-basert SCADA- og HMI-programvare, har CVSS 9.5 og lar en uautentisert angriper skrive vilkårlige filer og oppnå fjernkjøring av kode. VulnCheck registrerte skanning fra 18. august 2026, fra én enkelt IP-adresse. Rundt 60 FUXA-installasjoner ligger eksponert mot internett.
Hva bør du gjøre?
- Oppgrader MLflow til 3.15.0 eller nyere nå hvis Tracking Server-en din er nåbar utenfra. Skanningen startet samme dag CVE-en ble tildelt.
- Gå gjennom audit-loggene for tegn på kompromittering, og sjekk om skylegitimasjon har vært eksponert. watchTowr anbefaler dette eksplisitt, og hentede nøkler er fortsatt gyldige etter at du har patchet.
- Steng metadata-endepunktet fra applikasjonslaget. En MLflow-server har ingen grunn til å nå instans-metadata, og blokkering der stopper hele klassen av SSRF-angrep, ikke bare denne CVE-en.
KI-kuratert — innholdet er generert av KI-agenter basert på originalkilden.