Агентство з кібербезпеки та захисту інфраструктури (CISA) попередило федеральні агентства про те, що зловмисники вже використовують критичну вразливість у MLflow.
MLflow — це платформа з відкритим вихідним кодом для інженерії ШІ, призначена для великих мовних моделей (LLM) та агентів, розроблена за підтримки Linux Foundation. Її щомісяця завантажують понад 30 мільйонів разів, і тисячі організацій використовують її для налагодження, оцінки, оптимізації та моніторингу ШІ-додатків.
Ця критична вразливість, що відстежується як CVE-2026-64849, пов’язана з підробкою запитів на стороні сервера (SSRF) з обходом DNS у механізмі доставки вихідних вебхуків MLflow. Вона була виправлена у версії 3.15.0. Зловмисники без жодних привілеїв можуть використовувати її для віддаленого доступу до внутрішніх сервісів або конфігурацій метаданих хмарних середовищ на непачних інсталяціях.
«За замовчуванням MLflow Tracking Server (mlflow server, без автентифікації, стандартний SQLite бекенд) робить API вебхуків registry моделі доступним без автентифікації, включаючи синхронний POST-запит /api/2.0/mlflow/webhooks/{id}/test, який повертає клієнту статус і тіло відповіді від сервера», — йдеться в інформаційній безпеці MLflow, опублікованій три тижні тому.
«Неавтентифікований зловмисник, який має доступ до сервера відстеження, може змусити сервер надсилати HTTP-запити до довільних внутрішніх/локальних/хмарних кінцевих точок метаданих і читати відповіді через /test: метадані хмарних інстансів (наприклад, облікові дані AWS IMDS IAM), внутрішні адміністративні сервіси за межами мережі та сканування внутрішніх портів/хостів».
Успішна експлуатація може дозволити зловмисникам викрадати хмарні облікові дані, такі як облікові дані AWS Identity and Access Management (IAM), за допомогою атак низької складності.
Позначено як експлуатована в атаках
У середу CISA додало цю вразливість до свого каталогу вразливостей, що активно експлуатуються, і наказало федеральним установам цивільної виконавчої влади США (FCEB) захистити свої інсталяції MLflow протягом двох тижнів відповідно до Оперативної директиви 26-04.
BOD 26-04 було видано в червні, і воно вимагає від урядових установ США надавати пріоритет виправлення, якщо вразливі активи доступні публічно в Інтернеті, якщо вразливість додано до каталогу KEV CISA, якщо експлуатацію можна автоматизувати для масштабних атак, і якщо успішна експлуатація надає зловмисникам частковий або повний контроль над цільовою системою.
Хоча CISA ще не надала більше інформації про ці триваючі атаки, фірма з кібербезпеки watchTowr повідомила в середу, що зловмисники почали сканувати системи MLflow протягом кількох годин після призначення CVE ID.
«Зловмисники використовують вразливість для прямого доступу до сервісів метаданих хмарних середовищ і викрадення облікових даних та секретів хмарних середовищ», — заявили в watchTowr. «Якщо ваша організація використовує MLflow, надайте пріоритет виправленню будь-яких викритих систем, перегляньте журнали аудиту на наявність ознак компрометації та перевірте, чи не могли бути викрадені конфіденційні облікові дані».
У вівторок CISA попередила, що хакери також зловживають критичною вразливістю віддаленого виконання коду (RCE) у компоненті Windows Internet Key Exchange (IKE) Service Extensions.
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Як тільки зловмисники використовують дійсні облікові дані, запобігання різко знижується.
The Blue Report 2026 вимірює захист техніка за технікою на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.
Оригінал статті: www.bleepingcomputer.com