MLflow-Lücke wird zum Diebstahl von Cloud-Zugangsdaten ausgenutzt

MLflow zählt mit mehr als 27.000 Sternen auf GitHub und über 60 Millionen monatlichen Downloads zu den stark verbreiteten Open-Source-Werkzeugen im KI-Umfeld. Umso relevanter ist die nun aktiv ausgenutzte Schwachstelle CVE-2026-64849, die laut MLflow als nicht authentifizierte SSRF-Lücke einzustufen ist.

Nach Angaben von MLflow entsteht das Problem dadurch, dass der standardmäßig eingesetzte MLflow Tracking Server, also „mlflow server“, die Webhooks-API der Modellregistrierung ohne Authentifizierung erreichbar macht. Einer der erreichbaren Endpunkte gibt die Antwort eines internen Zielsystems mitsamt Statuscode und Antworttext an den Angreifer zurück. Ein SSRF-Schutz, der ab Version 3.10.0 eingeführt wurde, konnte zudem umgangen werden.

WatchTowr warnt, dass Angreifer die Schwachstelle nutzen, um direkt auf Cloud-Metadatendienste zuzugreifen und dort Cloud-Zugangsdaten sowie Geheimnisse zu exfiltrieren. Nach Darstellung des Unternehmens begann die Ausnutzung in freier Wildbahn innerhalb weniger Stunden nach der Vergabe der CVE-Nummer. Ziel seien dabei in der Cloud betriebene Instanzen gewesen.

Betroffen sind laut WatchTowr alle MLflow-Versionen vor 3.15.0. Das Unternehmen empfiehlt Organisationen, exponierte Systeme mit Priorität zu patchen, Prüfprotokolle auf Hinweise auf eine Kompromittierung zu untersuchen und zu prüfen, ob sensible Zugangsdaten offengelegt worden sein könnten.

Auch die US-Cybersicherheitsbehörde CISA hat reagiert. Sie nahm CVE-2026-64849 am Mittwoch in ihren Katalog der bekannten ausgenutzten Schwachstellen auf. Bundesbehörden in den USA fordert die Behörde auf, die Lücke innerhalb von zwei Wochen zu schließen, entsprechend den Empfehlungen aus BOD 26-04.

Die Schwachstelle betrifft eine Plattform, die für die Verwaltung kompletter Machine-Learning-Abläufe gedacht ist und auch die Bereitstellung von KI-Agenten, großen Sprachmodellen und ML-Modellen in Produktionsumgebungen unterstützt. Gerade bei cloudgehosteten Instanzen ist die von WatchTowr beschriebene Angriffsmethode brisant, weil sie den Zugriff auf interne Endpunkte und darüber auf besonders sensible Informationen ermöglicht.