MLflow beschreibt die Schwachstelle in einem Sicherheitshinweis von vor drei Wochen als unauthentifizierten Zugriff auf die Webhook-API der Modellregistrierung in der Standardkonfiguration des Tracking-Servers. Konkret nannte das Sicherheitsteam den synchronen Endpunkt „POST /api/2.0/mlflow/webhooks/{id}/test“, der den Status und den Inhalt der Antwort des angesprochenen Zielsystems an den Aufrufer zurückliefert.
Nach Darstellung des MLflow-Sicherheitsteams kann ein nicht authentifizierter Angreifer, der den Tracking-Server erreichen kann, den Server dazu bringen, HTTP-Anfragen an beliebige interne, Loopback- oder Cloud-Metadaten-Endpunkte zu senden und die Antworten über den Test-Endpunkt auszulesen. Genannt werden dabei Cloud-Instanz-Metadaten, etwa AWS-IMDS-Anmeldedaten für IAM, interne Verwaltungsdienste hinter der Netzwerkgrenze sowie internes Scannen von Ports und Hosts.
Der Hersteller stuft die Angriffe als wenig komplex ein. Eine erfolgreiche Ausnutzung kann dem Quelltext zufolge dazu führen, dass Angreifer Cloud-Anmeldedaten stehlen, darunter AWS-Identity-and-Access-Management-Zugangsdaten.
CISA nahm CVE-2026-64849 am Mittwoch in den Katalog der in freier Wildbahn ausgenutzten Schwachstellen auf. Gleichzeitig ordnete die Behörde an, dass Behörden der U.S. Federal Civilian Executive Branch ihre MLflow-Instanzen innerhalb von zwei Wochen absichern müssen. Grundlage dafür ist die verbindliche operative Richtlinie BOD 26-04.
Diese Richtlinie wurde im Juni veröffentlicht. Sie verpflichtet US-Behörden dazu, das Patchen zu priorisieren, wenn verwundbare Systeme öffentlich im Internet erreichbar sind, wenn die Schwachstelle in CISA-Katalog der bekannten ausgenutzten Lücken aufgenommen wurde, wenn sich die Ausnutzung für groß angelegte Angriffe automatisieren lässt und wenn eine erfolgreiche Kompromittierung Angreifern teilweise oder vollständige Kontrolle über ein Zielsystem verschafft.
Weitere Details zu den laufenden Angriffen hat CISA bislang nicht veröffentlicht. Das Sicherheitsunternehmen watchTowr teilte jedoch am Mittwoch mit, Angreifer hätten bereits innerhalb weniger Stunden nach Vergabe der CVE-Kennung begonnen, nach MLflow-Systemen zu scannen.
watchTowr erklärte zudem, die Angreifer nutzten die Schwachstelle aus, um Cloud-Metadatendienste direkt zu erreichen und Cloud-Zugangsdaten sowie Geheimnisse abzuziehen. Die Firma riet Organisationen mit MLflow, öffentlich erreichbare Systeme bevorzugt zu patchen, Audit-Protokolle auf Kompromittierungsanzeichen zu prüfen und zu kontrollieren, ob sensible Zugangsdaten offengelegt worden sein könnten.