MLflow-Schwachstelle wird aktiv ausgenutzt, warnt CISA

Eine kritische MLflow-Schwachstelle wird derzeit aktiv ausgenutzt, wie die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) warnt. Die Schwachstelle kann es nicht authentifizierten Angreifern ermöglichen, auf interne Dienste und Cloud-Metadaten anfälliger MLflow-Server zuzugreifen.

Das als CVE-2026-64849 verfolgte Problem betrifft das System von MLflow zur ausgehenden Webhook-Zustellung. Angreifer können es durch eine DNS-Rebinding-basierte Umgehung des Schutzes vor Server-Side Request Forgery ausnutzen und sich dadurch möglicherweise Zugang zu sensiblen Ressourcen verschaffen, die aus dem öffentlichen Internet nicht erreichbar sein sollten.

MLflow veröffentlichte Version 3.15.0, um das Problem zu beheben. Organisationen, die exponierte oder ungepatchte MLflow-Instanzen betreiben, sollten das Update dringend installieren.

MLflow-Schwachstelle kann interne Dienste offenlegen

MLflow ist eine Open-Source-Plattform zum Entwickeln, Testen, Überwachen und Verbessern von KI-Anwendungen, darunter Projekte mit großen Sprachmodellen und KI-Agenten. Die Plattform verzeichnet mehr als 30 Millionen Downloads pro Monat und unterstützt Tausende von Organisationen.

Die betroffene Konfiguration umfasst den standardmäßigen MLflow Tracking Server, der die Model-Registry-Webhooks-API ohne Authentifizierung zugänglich machen kann. Ein Test-Endpunkt kann ausgehende Anfragen stellen und die Antwort des angesprochenen Dienstes an die Person zurückgeben, die die Anfrage gestellt hat.

Dieses Verhalten ermöglicht es einem entfernten Angreifer, Anfragen an interne Dienste, Loopback-Adressen oder Cloud-Metadaten-Endpunkte zu senden. Anschließend kann der Angreifer die daraus resultierenden Antworten über den exponierten Endpunkt auslesen.

In der Praxis könnte dies interne Verwaltungsdienste offenlegen, interne Port-Scans ermöglichen und Metadaten von Cloud-Instanzen preisgeben. Angreifer könnten dadurch außerdem Cloud-Zugangsdaten erhalten, darunter Zugangsdaten für AWS Identity and Access Management.

CISA nimmt CVE-2026-64849 in Katalog ausgenutzter Schwachstellen auf

CISA nahm CVE-2026-64849 am 19. August in seinen Known Exploited Vulnerabilities-Katalog auf. Die Behörde wies zivile US-Bundesbehörden an, betroffene MLflow-Systeme innerhalb von zwei Wochen abzusichern.

Die Frist folgt der Binding Operational Directive 26-04, die Bundesbehörden verpflichtet, schwerwiegende Schwachstellen zu priorisieren, die Angreifer in großem Umfang ausnutzen können. Die Richtlinie konzentriert sich außerdem auf Schwachstellen in öffentlich erreichbaren Systemen sowie auf Sicherheitslücken, die Angreifern teilweise oder vollständige Kontrolle über eine angegriffene Umgebung ermöglichen könnten.

CISA hat keine technischen Details zu den beobachteten Angriffen veröffentlicht. Das Cybersicherheitsunternehmen watchTowr berichtete jedoch, dass Angreifer bereits wenige Stunden nach der Vergabe der CVE-Kennung damit begannen, nach MLflow-Systemen zu suchen.

Angreifer zielen auf Cloud-Metadaten und Zugangsdaten

Forscher berichten, dass Angreifer die MLflow-Schwachstelle nutzen, um direkt auf Cloud-Metadatendienste zuzugreifen. Von dort können sie möglicherweise Cloud-Zugangsdaten und andere geheime Informationen extrahieren.

Cloud-Metadaten-Endpunkte können Anwendungen, die auf einer Cloud-Infrastruktur ausgeführt werden, wertvolle Informationen bereitstellen. Erhält ein Angreifer Zugriff darauf, kann er temporäre Zugangsdaten oder Konfigurationsdetails sammeln, die weitere Angriffsversuche unterstützen.

Die geringe Komplexität des Angriffs erhöht das Risiko für exponierte Server. Ein Angreifer benötigt keine gültigen MLflow-Zugangsdaten, wenn die anfällige Konfiguration online verfügbar ist.

Organisationen sollten exponierte MLflow-Server patchen

MLflow-Nutzer sollten so schnell wie möglich auf Version 3.15.0 oder höher aktualisieren. Sicherheitsteams sollten außerdem ihre mit dem Internet verbundenen MLflow-Server überprüfen und sicherstellen, dass Webhook-Funktionen ohne Authentifizierung keine sensiblen internen Ressourcen offenlegen.

Administratoren sollten Audit-Logs auf verdächtige Webhook-Aktivitäten, ungewöhnliche Anfragen an interne Adressen und Anzeichen für Zugriffe auf Cloud-Metadaten überprüfen. Außerdem sollten sie Cloud-Zugangsdaten und andere geheime Informationen kontrollieren, die vor der Behebung der Schwachstelle möglicherweise offengelegt wurden.

Fazit

Die MLflow-Schwachstelle CVE-2026-64849 stellt ein ernstes Risiko für Organisationen dar, die exponierte, ungepatchte Instanzen betreiben. Aufgrund der aktiven Ausnutzung sind schnelles Patchen, die Überprüfung von Logs und die Kontrolle von Zugangsdaten unerlässlich, insbesondere bei MLflow-Umgebungen, die mit Cloud-Diensten verbunden sind.