Il trabocchetto dei webhook di MLflow trasforma un cavallo da lavoro dell’IA in un rischio SSRF
Una vulnerabilità ad alta gravità nel server di tracking di MLflow mostra come una funzione di callback di routine possa diventare un primitivo di fetch lato server quando la fiducia nell’URL si interrompe al momento del redirect.
Quando le piattaforme di IA sono esposte alla rete, la superficie d’attacco spesso è in bella vista. MLflow, ampiamente usato per gestire esperimenti di machine learning e flussi di lavoro dei modelli, presenta ora un problema critico di SSRF tracciato come CVE-2026-64849. Il rischio non riguarda solo il punteggio o la voce di catalogo. Riguarda il modo in cui un controllo dell’URL può fallire dopo la prima richiesta, consentendo a un server di seguire una destinazione di cui non avrebbe mai dovuto fidarsi.
Fatti rapidi
- CVE-2026-64849 è un problema di Server-Side Request Forgery in MLflow.
- La vulnerabilità interessa le versioni di MLflow precedenti alla 3.15.0.
- La vulnerabilità ha un punteggio base CVSS di 9.3.
- CISA l’ha inserita nel catalogo Known Exploited Vulnerabilities.
- La preoccupazione principale è il recupero lato server di URL influenzati dall’attaccante, soprattutto laddove l’accessibilità interna sia ampia.
TECHCROOK
I bug SSRF sono pericolosi perché non hanno bisogno di forzare l’ingresso dalla porta principale. Chiedono al server di destinazione di fare lui il lavoro di raggiungerla. In questo caso, la debolezza si trova nel percorso di consegna dei webhook di MLflow, dove un passaggio iniziale di convalida dell’URL può essere indebolito da redirect o DNS rebinding. Questo conta perché la convalida al momento del parsing non basta se la destinazione finale della connessione non viene fissata o ricontrollata.
Dal punto di vista difensivo, la variabile più importante è l’esposizione dell’implementazione. Un tracking server self-hosted è un vero servizio HTTP con qualunque accesso di rete l’host abbia già. Se quell’host può raggiungere servizi interni, indirizzi loopback, intervalli link-local o endpoint di metadata del cloud, un SSRF riuscito potrebbe consentire a un attaccante di far recuperare al server risposte da luoghi che non erano mai destinati a essere pubblici.
La lezione più ampia è che gli stack di IA e ML restano stack web. Webhook, callback, API REST ed endpoint di anteprima sono superfici d’attacco convenzionali, anche quando il prodotto viene commercializzato per la gestione dei modelli anziché per la distribuzione di contenuti. Un punteggio critico è utile, ma il rischio pratico dipende da dove si trova il servizio, cosa può raggiungere e se il traffico in uscita è limitato.
Al momento della pubblicazione, le informazioni pubbliche non hanno ancora stabilito in modo completo l’ambito dell’exploitation o se i sistemi downstream siano stati raggiunti. Le informazioni disponibili supportano un’analisi del rischio, non un’affermazione generalizzata su ogni distribuzione.
Punti di pressione difensivi
La gestione delle patch viene prima di tutto: MLflow 3.15.0 o successiva chiude questo specifico problema. Ma applicare la patch non è l’unica risposta. I team dovrebbero anche limitare l’accesso al tracking server, richiedere autenticazione dove appropriato e bloccare le richieste in uscita verso intervalli di indirizzi sensibili dall’host MLflow. Per qualsiasi funzione che recuperi URL remoti, la destinazione finale dovrebbe essere convalidata dopo i redirect, non solo prima che la richiesta venga inviata.
Conclusione
Il problema SSRF di MLflow ricorda che le moderne infrastrutture di IA ereditano i classici rischi del web, amplificandoli poi attraverso la centralizzazione e la reach di rete privilegiata. I difensori che ottengono i risultati migliori sono quelli che trattano callback, fetch e accesso ai metadata come confini di sicurezza, non come dettagli di implementazione.
TECHCROOK
Appliance firewall hardware: Un firewall per piccole imprese o un gateway di sicurezza può aiutare a segmentare i servizi esposti e a limitare il traffico in uscita verso destinazioni approvate. Per i server che recuperano URL remoti, i controlli in uscita e la registrazione di rete possono rendere più facile rivedere connessioni insolite.
WIKICROOK
- SSRF: Server-Side Request Forgery, una vulnerabilità che induce un server a effettuare richieste di rete non intenzionali.
- MLflow: Una piattaforma open source per tenere traccia degli esperimenti di machine learning e gestire i flussi di lavoro dei modelli.
- Webhook: Un callback HTTP usato da un servizio per notificare un altro quando si verifica un evento.
- CVSS: Common Vulnerability Scoring System, uno standard usato per valutare la gravità delle vulnerabilità.
- KEV: Il catalogo Known Exploited Vulnerabilities di CISA, usato per dare priorità alla correzione delle vulnerabilità note a rischio.
