案例 mlflow-cve-2026-64849-kevAI 供应链全球
CISA将可触及云元数据的MLflow webhook SSRF列为已被利用
MLflow中一个未认证的webhook测试端点仅验证初始URL，随后跟随重定向并重新解析主机名，使攻击者能够访问内部和云元数据服务并读取响应；CISA标记为正被积极利用。
高针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2026年8月19日
- 地点
- 全球
- 目标
- MLflow跟踪服务器3.3.0至3.14.x
- 严重程度
- 高
- 发起者
- 未知
- 行为者类型
- 未知
- 已报告损失
- 未报告
- CVE
- CVE-2026-64849
发生了什么
MLflow中一个未认证的webhook测试端点仅验证初始URL，随后跟随重定向并重新解析主机名，使攻击者能够访问内部和云元数据服务并读取响应；CISA标记为正被积极利用。
影响: 从暴露的MLflow服务器未认证访问内部服务和云实例元数据；利用规模未披露
谁发起了攻击
行为者: 未知
归因: CISA在发布两天后记录为正被积极利用；无公开归因
动机: 未知；针对元数据服务的SSRF通常可获得云凭据
如何发生
攻击途径: 向/api/2.0/mlflow/webhooks/{id}/test发送POST请求，其URL重定向至内部或元数据地址
根本原因: URL验证未固定到解析后的地址，且在webhook投递期间跟随重定向
时间线
- CVE-2026-64849发布；在MLflow 3.15.0中修复
- CISA将该CVE列入KEV目录
应对
升级至MLflow 3.15.0；限制对跟踪服务器的网络访问
当前状态: 已修补
来源（在新标签页打开）
- CISA KEV cisa.gov
- MLflow advisory github.com
引用此案例
CISA将可触及云元数据的MLflow webhook SSRF列为已被利用. AI Threat Watch, 案例 mlflow-cve-2026-64849-kev, 2026年8月19日. https://aithreat.io/zh/cases/mlflow-cve-2026-64849-kev/
永久链接: https://aithreat.io/zh/cases/mlflow-cve-2026-64849-kev/