ملف mlflow-cve-2026-64849-kevسلسلة توريد الذكاء الاصطناعيعالمي
CISA تدرج ثغرة SSRF في ويب هوك MLflow (CVE-2026-64849) تصل إلى بيانات السحابة الوصفية كمستغلة
نقطة نهاية لاختبار الويب هوك في MLflow لا تتطلب مصادقة كانت تتحقق من عنوان URL الأولي فقط، ثم تتبع عمليات إعادة التوجيه وتعيد تحليل أسماء المضيفين، ما سمح للمهاجمين بالوصول إلى الخدمات الداخلية وخدمات البيانات الوصفية السحابية وقراءة الاستجابة؛ ورصدت CISA استغلالا نشطا.
عاليةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 19 أغسطس 2026
- الموقع
- عالمي
- الهدف
- خوادم تتبع MLflow من الإصدار 3.3.0 حتى 3.14.x
- الخطورة
- عالية
- الجهة المنفذة
- غير معروف
- نوع الجهة
- غير معروف
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- CVE-2026-64849
ماذا حدث
نقطة نهاية لاختبار الويب هوك في MLflow لا تتطلب مصادقة كانت تتحقق من عنوان URL الأولي فقط، ثم تتبع عمليات إعادة التوجيه وتعيد تحليل أسماء المضيفين، ما سمح للمهاجمين بالوصول إلى الخدمات الداخلية وخدمات البيانات الوصفية السحابية وقراءة الاستجابة؛ ورصدت CISA استغلالا نشطا.
الأثر: وصول من دون مصادقة إلى الخدمات الداخلية والبيانات الوصفية لمثيلات السحابة من خوادم MLflow المكشوفة؛ ولم يكشف عن حجم الاستغلال
من نفّذها
الجهة: غير معروف
الإسناد: سجلت CISA الاستغلال كنشط بعد يومين من النشر؛ ولا يوجد إسناد علني
الدافع: غير معروف؛ وعادة ما تؤدي ثغرات SSRF نحو خدمات البيانات الوصفية إلى الحصول على بيانات اعتماد سحابية
كيف حدثت
أسلوب الهجوم: طلب POST إلى /api/2.0/mlflow/webhooks/{id}/test بعنوان URL يعيد التوجيه إلى عناوين داخلية أو عناوين البيانات الوصفية
السبب الجذري: التحقق من عنوان URL لم يكن مثبتا على العنوان المحلول، واتباع عمليات إعادة التوجيه أثناء تسليم الويب هوك
التسلسل الزمني
- نشر CVE-2026-64849؛ والإصلاح في MLflow 3.15.0
- CISA تضيف الثغرة إلى فهرس KEV
الاستجابة
الترقية إلى MLflow 3.15.0؛ وتقييد الوصول الشبكي إلى خوادم التتبع
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- CISA KEV cisa.gov
- MLflow advisory github.com
الاستشهاد بهذا الملف
CISA تدرج ثغرة SSRF في ويب هوك MLflow (CVE-2026-64849) تصل إلى بيانات السحابة الوصفية كمستغلة. AI Threat Watch, ملف mlflow-cve-2026-64849-kev, 19 أغسطس 2026. https://aithreat.io/ar/cases/mlflow-cve-2026-64849-kev/
رابط دائم: https://aithreat.io/ar/cases/mlflow-cve-2026-64849-kev/