MLflow diventa un proxy per rubare credenziali cloud
watchTowr e VulnCheck hanno osservato entro poche ore dallo svelamento di CVE-2026-64849 che MLflow, nelle versioni precedenti alla 3.15.0, veniva già sfruttato online per colpire istanze esposte e sottrarre credenziali e secret cloud. La falla non si limita a un accesso HTTP interno: trasforma un tracking server raggiungibile in un passaggio verso i metadata endpoint del cloud.
MLflow controllava l’URL del webhook, ma poi seguiva i redirect e risolveva di nuovo l’host senza mantenere fissa l’indirizzo già validato. In questo modo una richiesta che sembrava innocua poteva essere deviata verso un servizio interno o verso i metadata del cloud, con risposta leggibile dall’attaccante. Il risultato è un furto di credenziali, non solo di informazioni di rete.
Per chi espone MLflow su cloud, il perimetro reale non è il server in sé ma l’identità cloud che quel server può raggiungere. La patch in 3.15.0 chiude il bug; se però i secret sono già usciti, resta da trattarli come compromessi.