Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) warnte vor der aktiven Ausnutzung einer kritischen Schwachstelle in der Open-Source-Plattform MLflow, die für die Entwicklung von KI-Anwendungen verwendet wird, und nahm sie in den Katalog der bei tatsächlichen Angriffen ausgenutzten Schwachstellen auf. Die Behörde ordnete US-Bundesbehörden der zivilen Exekutive an, betroffene MLflow-Instanzen innerhalb von zwei Wochen abzusichern, und forderte zugleich alle Verantwortlichen für die Netzwerkverteidigung auf, der Behebung hohe Priorität einzuräumen.
Die Schwachstelle trägt die Kennung CVE-2026-64849 und befindet sich im Mechanismus zur Zustellung ausgehender Webhook-Benachrichtigungen von MLflow. Die Ausnutzung basiert auf einer Server-Side-Request-Forgery (SSRF) unter Verwendung von DNS-Rebinding. Dadurch kann ein nicht autorisierter Angreifer einen MLflow-Server dazu zwingen, HTTP-Anfragen an interne Ziele zu senden, die aus dem Internet nicht direkt erreichbar sind.
Worauf kann der Angreifer zugreifen?
Nach Angaben des MLflow-Sicherheitsteams stellt die Standardkonfiguration des Tracking-Servers, wenn er ohne Authentifizierung und mit der standardmäßigen SQLite-Datenbank betrieben wird, eine API für Modellregister-Webhooks ohne Schutz bereit. Dazu gehört der Endpunkt POST /api/2.0/mlflow/webhooks/{id}/test, der dem Aufrufer den Antwortstatus und den Inhalt der Antwort des Dienstes zurückgibt, mit dem sich der Server verbunden hat.
Auf diese Weise kann ein Angreifer, der Zugriff auf den Tracking-Server hat, Anfragen an interne oder lokale Adressen senden und anschließend die Ergebnisse über den genannten Endpunkt lesen. Zu den potenziellen Zielen gehören Verwaltungsdienste, die hinter Netzwerkgrenzen verborgen sind, interne Ports und Hosts sowie Metadaten-Endpunkte von Cloud-Dienstanbietern. Dies kann beispielsweise beim AWS IMDS zur Offenlegung von Cloud-IAM-Anmeldedaten führen.
Behebung und Anforderungen an Regierungsstellen
MLflow hat das Problem in Version 3.15.0 behoben. Die Sicherheitsbehörde beschreibt die Ausnutzung als wenig komplex; sie kann den Diebstahl von Cloud-Anmeldedaten wie AWS-IAM-Daten ermöglichen, ohne dass zuvor Berechtigungen erforderlich sind.
CISA nahm die Schwachstelle am Mittwoch in den Katalog der Known Exploited Vulnerabilities auf und forderte US-Bundesbehörden der zivilen Exekutive auf, gemäß der verbindlichen operativen Richtlinie BOD 26-04 eine Frist von zwei Wochen einzuhalten. Diese Richtlinie legt Behebungsprioritäten fest, wenn verwundbare Anlagen dem Internet ausgesetzt sind, die Schwachstelle im CISA-Katalog aufgeführt ist, ihre Ausnutzung in großem Umfang automatisierbar ist oder die Ausnutzung dem Angreifer teilweise oder vollständig die Kontrolle über das Zielsystem verschafft.
Warum ist diese Warnung wichtig?
MLflow wird von Tausenden Organisationen eingesetzt und verzeichnet monatlich mehr als 30 Millionen Downloads. Die Plattform unterstützt außerdem die Fehlerbehebung, Bewertung, Optimierung und Überwachung von KI-Anwendungen. Daher beschränkt sich die Auswirkung der Schwachstelle nicht auf einen einzelnen Server: Ein erreichbarer und ungeschützter Tracking-Server kann eine für die Verwaltung von KI-Anwendungen bestimmte Komponente in einen Zugang zu internen Diensten oder Cloud-Anmeldedaten verwandeln.
BOD 26-04 gilt ausschließlich für US-Regierungsbehörden. CISA forderte jedoch alle Netzwerkverteidiger auf, die Internet-Exposition von MLflow-Instanzen zu prüfen und sie auf Version 3.15.0 oder eine später verfügbare Version zu aktualisieren. Die Warnung betont, dass die Bewertung jedes einzelnen Systems und die Umsetzung der Behebungsvorgaben weiterhin in der Verantwortung der betreibenden Stelle liegen.