Уязвимость MLflow CVE-2026-64849 выявляет критический недостаток безопасности из-за отсутствия проверки аутентификации на его конечной точке вебхука. Это позволяет неаутентифицированным запросам инициировать подделку запросов на стороне сервера (SSRF) с оценкой NVD 9.3. Уязвимость позволяет злоумышленнику заставить сервер MLflow получать произвольные URL-адреса, обходя распространенные меры защиты, такие как списки разрешенных адресов, благодаря возможностям перенаправления и повторного связывания DNS. Глубокие последствия обусловлены ролью MLflow как центрального узла, хранящего конфиденциальные учетные данные для баз данных, хранилищ артефактов и реестров моделей. Злоумышленник может использовать этот SSRF для доступа к конечным точкам метаданных облака, внутренним API Kubernetes, административным хранилищам артефактов и сетевым портам подов. Важно отметить, что злоумышленнику достаточно GET-запроса для извлечения токенов или подписанных URL-адресов, а не полного доступа к командной оболочке.Связанная уязвимость, хотя и не требующая данного CVE, связана с конфигурацией шлюза моделей MLflow, которая хранит ключи API. Если злоумышленник может изменять конфигурацию шлюза, эти ключи поставщиков могут быть извлечены без SSRF. Обе проблемы подчеркивают, что MLflow как хранит секреты, так и инициирует исходящие вызовы от имени потенциально неаутентифицированных пользователей. Помимо обновления до версии 3.15.0, организации должны внедрить надежные политики исходящего трафика для ограничения доступа MLflow к исходящим сетевым ресурсам. Укрепление доступа к метаданным и регулярная ротация учетных данных служб также являются важными шагами для снижения рисков. Аудит конфигураций шлюза на предмет подозрительных ссылок на api_key и значений api_base имеет первостепенное значение. Наконец, серверы отслеживания MLflow, будучи внутренними инструментами, должны быть размещены за решениями единого входа и не должны быть общедоступными. Широкое распространение экземпляров MLflow указывает на то, что многие команды упустили из виду риск общедоступных внутренних инструментов, хранящих критически важные учетные данные.