A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) alertou sobre a exploração ativa de uma vulnerabilidade crítica na plataforma MLflow de código aberto, usada para a engenharia de aplicações de inteligência artificial, e a incluiu em sua lista de vulnerabilidades exploradas em ataques reais. A agência ordenou que as agências civis executivas federais dos Estados Unidos protegessem as instâncias afetadas do MLflow em duas semanas, enquanto pediu a todos os responsáveis pela defesa de redes que priorizassem a correção.
A vulnerabilidade é identificada como CVE-2026-64849 e está presente no mecanismo de entrega de notificações de webhook do MLflow. A exploração depende de uma falsificação de solicitações do lado do servidor (SSRF) com religação de DNS, permitindo que um invasor não autorizado force um servidor MLflow a enviar solicitações HTTP para destinos internos que não podem ser acessados diretamente pela internet.
A que o invasor pode ter acesso?
Segundo a equipe de segurança do MLflow, a configuração padrão do servidor de rastreamento, quando executada sem autenticação e usando o banco de dados SQLite padrão, expõe sem proteção a API de notificações do registro de modelos. Isso inclui o endpoint POST /api/2.0/mlflow/webhooks/{id}/test, que devolve ao solicitante o status e o conteúdo da resposta do serviço ao qual o servidor se conectou.
Dessa forma, um invasor que consiga acessar o servidor de rastreamento pode enviar solicitações para endereços internos ou locais e, em seguida, ler os resultados por meio do endpoint mencionado. Os alvos potenciais incluem serviços de gerenciamento ocultos atrás dos limites da rede, portas e hosts internos, além de endpoints de metadados de provedores de serviços em nuvem. Isso pode, em casos como o serviço AWS IMDS, expor credenciais IAM da nuvem.
A correção e os requisitos das autoridades governamentais
A MLflow corrigiu o problema na versão 3.15.0. A entidade de segurança descreve a exploração como de baixa complexidade, podendo permitir o roubo de credenciais de nuvem, como credenciais do AWS IAM, sem a necessidade de privilégios prévios.
A CISA adicionou a vulnerabilidade ao catálogo Known Exploited Vulnerabilities na quarta-feira e pediu que as agências do Poder Executivo Civil Federal dos Estados Unidos cumprissem o prazo de duas semanas previsto na Diretriz Operacional Vinculante BOD 26-04. Essa diretriz define prioridades de correção quando os ativos vulneráveis estão expostos à internet, quando a vulnerabilidade é incluída no catálogo da CISA, quando sua exploração pode ser automatizada em larga escala ou quando a exploração concede ao invasor controle parcial ou total sobre o sistema-alvo.
Por que este alerta é importante?
O MLflow é usado por milhares de organizações e recebe mais de 30 milhões de downloads por mês. A plataforma também oferece suporte à correção, à avaliação, à otimização e ao monitoramento de aplicações de inteligência artificial. Portanto, o impacto da vulnerabilidade não se limita a um único servidor; a existência de um servidor de rastreamento acessível e desprotegido pode transformar um componente destinado ao gerenciamento de aplicações de inteligência artificial em um ponto de passagem para serviços internos ou credenciais de nuvem.
O BOD 26-04 se aplica apenas às agências governamentais dos Estados Unidos, mas a CISA instou todos os defensores de redes a verificar a exposição das instâncias do MLflow à internet e a atualizá-las para a versão 3.15.0 ou para uma versão posterior disponível. O alerta confirma que avaliar cada ativo e aplicar as orientações de correção continua sendo responsabilidade da entidade operadora.