Angreifer setzen offenbar eine neuere MLflow Schwachstelle SSRF ein, um sensible Daten abzugreifen. Laut Berichten werden dabei unter anderem Zugangsdaten und Geheimnisse (Credentials und Secrets) gestohlen, indem Angreifer interne Ziele über speziell missbrauchte Serveranfragen erreichen.
MLflow ist eine Open-Source-Plattform zur Unterstützung des gesamten Machine-Learning-Lifecycle und wird unter anderem genutzt, um Modelle und Deployments für den produktiven Einsatz bereitzustellen. Die Aktivität rund um die Schwachstelle zeigt, dass auch bekannte Entwickler-Stacks im Cloud-Kontext zu kritischen Angriffspfaden werden können.
Was ist MLflow und warum ist die Schwachstelle relevant?
MLflow dient dazu, Modelle, Experimente und Deployments über den Lebenszyklus hinweg zu organisieren. Nutzer können damit verschiedene Schritte im Machine-Learning-Prozess steuern und KI-Komponenten wie Modelle oder Agenten auch in produktive Umgebungen überführen.
Die betreffende Schwachstelle betrifft den Tracking Server von MLflow. Genau dort entsteht laut Advisory das Risiko, wenn ein Standard-Setup bestimmte Web-APIs ohne ausreichende Zugriffskontrollen zugänglich macht. In der Praxis bedeutet das: Wenn betroffene Server im Netzwerk erreichbar sind, können Angreifer gezielt versuchen, sensible Informationen aus der Umgebung herauszuschleusen.
Technischer Kern: CVE-2026-64849 und SSRF
Die Schwachstelle ist unter CVE-2026-64849 geführt und erhält laut den genannten Angaben einen CVSS-Score von 9,3. Beschrieben wird sie als ein Problem mit unauthenticated Server-Side Request Forgery (SSRF). SSRF bedeutet, dass ein Angreifer Anfragen so auslösen kann, dass der Server selbst HTTP-Zugriffe auf interne Endpunkte durchführt, die für den Angreifer von außen nicht direkt erreichbar wären.
Konkret hebt das Advisory hervor, dass der Tracking Server eine Webhooks-API des Model-Registry-Systems ohne Authentifizierung bereitstellt. Einer der exponierten Endpunkte soll dabei auf Rückmeldungen des Zielsystems zurückgreifen und Status sowie Antwortinhalt an den Anrufer weitergeben. Dadurch können Angreifer ihre Ziele nicht nur ansprechen, sondern auch die Ergebnisse verwertbar machen.
Umgehung eines SSRF-Schutzes
Zusätzlich wird erwähnt, dass ein SSRF-Schutz, der in Version 3.10.0 eingeführt wurde, umgangen werden kann. Das unterstreicht: Selbst wer sich auf einen „vorher eingebauten“ Schutz verlassen hat, kann dennoch betroffen sein, wenn der konkrete Angriff Pfade nutzt, die den Schutz aushebeln.
Wie Angreifer vorgehen: Cloud-Metadata als Ziel
Nach Einschätzung von Beobachtern zielen Angriffe darauf ab, Cloud-Metadata-Services direkt zu erreichen. Diese Dienste können in vielen Cloud-Umgebungen Informationen über Instanzen und Berechtigungen bereitstellen. Wenn Angreifer entsprechende Endpunkte erreichen, kann das zum Exfiltrieren von Cloud-Credentials und Secrets führen.
WatchTowr warnt in diesem Zusammenhang, dass die Schwachstelle genutzt wird, um genau diese Mechanismen auszunutzen. Laut der Beobachtung begann die Ausnutzung „innerhalb weniger Stunden“ nach der Vergabe der CVE, und es wurden besonders cloudgehostete Instanzen als Ziele genannt.
Für Betreiber ist das besonders kritisch, weil Cloud-Umgebungen häufig automatisch Berechtigungen bereitstellen und damit die Hürde für „Zugriff auf verwertbare Daten“ sinkt, sobald ein SSRF-Pfad erfolgreich ist.
Welche MLflow-Versionen sind betroffen?
Aus den vorliegenden Informationen folgt eine klare Aussage zur Betroffenheit: Alle MLflow-Versionen vor 3.15.0 sollen anfällig sein. Das bedeutet in der Praxis, dass ein Update auf eine neuere Version der zentrale technische Schritt ist.
Wer MLflow in einem Standard- oder wenig gehärteten Setup betreibt, sollte davon ausgehen, dass die Angriffsfläche in erster Linie durch die Erreichbarkeit und Konfiguration des Tracking Servers entsteht. Wenn entsprechende Dienste extern oder über unzureichend geschützte Netzsegmente erreichbar sind, steigt das Risiko deutlich.
Aktuelle Lage: Eintrag in CISA KEV
Die Dringlichkeit wird zusätzlich durch die Aufnahme in die Known Exploited Vulnerabilities (KEV)-Liste der US-amerikanischen Cybersecurity-Behörde CISA untermauert. In den genannten Angaben wurde CVE-2026-64849 in diese Datenbank aufgenommen, verbunden mit dem Appell, innerhalb von zwei Wochen zu patchen.
Damit richtet sich die Empfehlung nicht nur an einzelne Teams, sondern auch an Behörden. Die Veröffentlichung verweist außerdem auf BOD 26-04 als Grundlage für entsprechende Handlungsanforderungen.
Was Sie jetzt tun sollten: Patchen, prüfen, absichern
Wenn in Ihrer Organisation MLflow eingesetzt wird, sollten Sie die folgenden Schritte priorisieren, um mögliche Auswirkungen zu reduzieren.
1) Aktualisieren Sie betroffene Systeme
Der wichtigste Schritt ist, alle MLflow-Installationen vor 3.15.0 zeitnah zu aktualisieren. Dabei geht es nicht nur um die Anwendung selbst, sondern auch um die Umgebungen, in denen der Tracking Server erreichbar ist.
2) Patchen Sie nur nicht „irgendwie“: exponierte Dienste konsequent prüfen
Da die Schwachstelle über eine spezifische Server-Komponente und eine exponierte API wirksam wird, sollten Sie gezielt prüfen, ob entsprechende HTTP-Endpunkte erreichbar sind. Besonders relevant ist das, wenn Systeme im Internet, über Gateways oder durch unsaubere Netzregeln erreichbar sind.
3) Audit-Logs überprüfen
WatchTowr empfiehlt, Audit-Logs im Hinblick auf Hinweise auf Kompromittierung zu kontrollieren. Achten Sie dabei auf auffällige Zugriffsversuche, ungewöhnliche Request-Muster sowie Spuren, die auf interne Anfragen schließen lassen.
4) Betroffene Credentials und Secrets identifizieren
Zusätzlich sollten Sie prüfen, ob durch einen Angriff mögliche Cloud-Zugangsdaten oder Secrets betroffen sein könnten. Auch wenn ein Exploit nicht immer zu einem vollständigen Datenabfluss führt, können bereits Indikatoren dafür vorliegen, dass der Angreifer Berechtigungen abgegriffen oder getestet hat.
Praktische Sicherheits-Hinweise für Betreiber von ML-Stacks
Die Episode rund um die MLflow Schwachstelle SSRF zeigt, wie wichtig Sicherheitsmaßnahmen auch in ML-Toolchains sind. ML-Plattformen werden häufig als „Entwicklerwerkzeuge“ betrachtet, doch im Produktionsbetrieb tragen sie oft direkte Verbindung zu Infrastruktur und Datenpipelines.
Ein sinnvoller Ansatz umfasst üblicherweise die Minimierung der Angriffsfläche (weniger offene Ports, strengere Netzwerksegmente), das konsequente Patch-Management sowie die Überwachung kritischer Komponenten. Gerade bei Systemen, die Web-APIs bereitstellen, ist Authentifizierung und Zugriffskontrolle entscheidend.
Fazit
Die gemeldete MLflow Schwachstelle SSRF (CVE-2026-64849) wird aktiv ausgenutzt, um über unauthentifizierte Request-Weiterleitungen interne Ziele zu erreichen. Angreifer sollen dabei insbesondere auf Cloud-Metadata-Dienste abzielen und so Credentials und Secrets abgreifen können.
Wenn Sie MLflow betreiben, sollten Sie Versionen vor 3.15.0 zeitnah aktualisieren, exponierte Dienste prüfen und Audit-Logs auf verdächtige Aktivitäten untersuchen. Die Aufnahme in die CISA-KEV-Liste und der Patch-Zeitrahmen verdeutlichen, dass schnelles Handeln jetzt besonders wichtig ist.
Quelle: https://www.securityweek.com/mlflow-vulnerability-exploited-for-cloud-credential-theft/
