CVE-2026-64849: SSRF-Sicherheitslücke in MLflow wird aktiv ausgenutzt

CVE-2026-64849 (CVSS 9,3, EPSS ≥ 95. Perzentil) ist eine als kritisch eingestufte, nicht authentifizierte, serverseitige Request-Forgery-Schwachstelle (SSRF) [CWE-918] bei der MLflow-Webhook-Übermittlung. Die CVE betrifft alle Versionen vor 3.15.0. Die Hauptursache ist eine fehlerhafte Umleitungsverarbeitung und DNS-Rebinding. Die Schwachstelle wird durch Umgehung der Schutzmaßnahmen _validate_webhook_url in der Standardkonfiguration des MLflow-Tracking-Servers ausgenutzt. Die CISA hat CVE-2026-64849 in den Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen, was auf eine aktive Ausnutzung hindeutet. Der Hinweis des Anbieters enthält eine detaillierte technische Beschreibung sowie einen Proof-of-Concept (PoC)-Exploit-Workflow. Weitere technische Analysen und PoC-Exploits sind ebenfalls verfügbar [1][2]. Mehrere nationale CERT-Stellen weltweit haben Warnungen herausgegeben [3][4][5][6][7][8][9].

Eine Risikobewertung von CVE-2026-64849 in MLflow

CVSS 9,3 · KritischEPSS 8,2 % (95.)Wird aktiv ausgenutztIn CISA KEVÖffentlicher PoC

MLflow ist eine der am weitesten verbreiteten selbst gehosteten Plattformen für die Nachverfolgung von Machine-Learning-Experimenten und das Lebenszyklusmanagement von ML-Modellen. Unternehmen, die MLflow einsetzen, sollten die Behebung dieser Schwachstelle priorisieren, da sie aktiv ausgenutzt wird, keine Authentifizierung erfordert und Antworten interner Dienste sowie Cloud-Metadaten über den Webhook-Übertragungsweg offenlegen kann.

CISA hat CVE-2026-64849 am 19. August 2026 in seinen KEV-Katalog aufgenommen. Der Herstellerhinweis selbst enthält eine detaillierte technische Beschreibung sowie einen Proof-of-Concept (PoC)-Exploit-Workflow. Weitere technische Analysen und PoC-Exploits sind verfügbar [1][2]. Diese Risikoindikatoren sprechen für eine dringende Behebung der betroffenen MLflow-Tracking-Server-Instanzen, bei denen die Webhook-Funktionalität für Ereignisse der Model Registry oder Prompt Registry aktiviert ist.

Technische Details zu CVE-2026-64849 in MLflow

CVE-2026-64849 (CVSS 9,3, EPSS ≥ 95. Perzentil) wird als SSRF-Schwachstelle klassifiziert [CWE-918]. Die Funktion _validate_webhook_url validiert lediglich die ursprüngliche Webhook-URL. Die Ausführung von mlflow/webhooks/delivery.py folgt jedoch HTTP-Weiterleitungen und löst den Hostnamen neu auf, ohne die zuvor validierte Adresse festzuhalten. Die Schwachstelle nutzt diese fehlerhafte Weiterleitungsverarbeitung aus und ermöglicht DNS-Rebinding-Angriffe.

CVE-2026-64849 betrifft den MLflow Tracking Server, der in selbst gehosteten Bereitstellungen standardmäßig ohne Authentifizierung über das Netzwerk erreichbar sein kann. Der anfällige Pfad verbindet drei Komponenten:

1. Der Angreifer greift auf den nicht authentifizierten MLflow Tracking Server zu
2. Der Angreifer ruft dessen exponierte Model-Registry-Webhook-API auf
3. Der Angreifer missbraucht den Webhook-Test-Workflow der API, um vom Angreifer kontrollierte Anfragen an interne Ressourcen auszulösen und die Antwortdaten an den Angreifer zurückzusenden

Eine erfolgreiche Ausnutzung kann interne APIs und andere Dienste gefährden, auf die der MLflow-Host Zugriff hat. Die Hauptfolge ist die Offenlegung von Informationen durch unbefugten Zugriff auf interne und Cloud-Metadatendienste. Dies kann die Erkennung interner Hosts und Ports sowie in Cloud-Umgebungen die Exfiltration von Anmeldedaten, API-Schlüsseln, Tokens oder anderen geheimen Informationen umfassen. Einige öffentlich bekannte Exploit-Varianten können zudem die ursprüngliche POST-Methode und den Body beibehalten, was blinde Schreibzugriffe auf Management-Endpunkte im privaten Netzwerk ermöglichen könnte. Die offizielle Herstellerwarnung nennt die Endpunkte des Docker-Daemons /stop, von Elasticsearch /_close und von Spring Boot Actuator /shutdown.

Abhilfemaßnahmen für CVE-2026-64849 in MLflow

MLflow 3.15.0 ist die gepatchte Version; alle früheren Versionen sind anfällig. Benutzer sollten auf MLflow 3.15.0 aktualisieren, um die Sicherheitslücke vollständig zu schließen. Der OPENVAS ENTERPRISE FEED enthält Erkennung für CVE-2026-64849 in MLflow, wodurch Sicherheitsverantwortliche nicht gepatchte Instanzen in ihren IT-Umgebungen identifizieren können. Sicherheitsteams sollten betroffene Systeme identifizieren und die Behebung bei Bereitstellungen priorisieren, die den standardmäßigen MLflow-Tracking-Server verwenden und die Webhooks-API offenlegen. Weitere Informationen finden Sie im MLflow-GitHub-Hinweis zu CVE-2026-64849.

Zusammenfassung

CVE-2026-64849 ist eine kritische MLflow-SSRF-Sicherheitslücke, die alle Versionen vor 3.15.0 betrifft. Die Schwachstelle wird aktiv ausgenutzt, und eine beträchtliche Menge an technischen Informationen sowie PoC-Exploit-Code ist öffentlich verfügbar [1][2][3]. Das Betriebsrisiko ist hoch, da standardmäßige MLflow-Tracking-Server-Bereitstellungen den anfälligen Webhook-Testpfad ohne Authentifizierung offenlegen können. Mehrere nationale CERT-Behörden weltweit haben Warnungen herausgegeben [4][5][6][7][8][9][10]. Benutzer sollten betroffene MLflow-Bereitstellungen identifizieren und auf Version 3.15.0 aktualisieren, um die Sicherheitslücke vollständig zu schließen.