Alerta Urgente: Vulnerabilidade Crítica no MLflow Permite Roubo de Credenciais em Ataques Ativos

A vulnerabilidade CVE-2026-64849 no MLflow é uma falha crítica de Server-Side Request Forgery (SSRF) que está sendo ativamente explorada. O problema reside na maneira como o MLflow lida com redirecionamentos HTTP após a validação inicial de URLs para webhooks. A função _validate_webhook_url, implementada na versão 3.10.0 para mitigar SSRFs, não "fixa" o endereço IP validado. Isso significa que, após a validação bem-sucedida de uma URL, se esta responder com um redirecionamento (HTTP 302, 307 ou 308), o MLflow seguirá o redirecionamento para o novo destino sem revalidar o endereço.

Um atacante, sem precisar de autenticação, pode configurar um servidor público que, ao ser acessado pelo MLflow, retorna um redirecionamento para endereços internos da rede da vítima, como 127.0.0.1 (localhost) ou os metadados de serviços de nuvem (169.254.169.254). Como o endpoint /test da API de webhooks reflete a resposta do destino, o MLflow atua como um proxy, vazando credenciais de nuvem e outras informações sensíveis. A natureza "enabled and unauthenticated by default" da API de webhooks do registro de modelos agrava o risco, tornando a exploração direta e com alto impacto. Além de leitura de dados, redirecionamentos 307/308 permitem "blind writes", possibilitando interações não autorizadas com serviços de gerenciamento internos, como Docker ou Spring Boot Actuator.

Esta nova falha no MLflow destaca uma tendência preocupante de explorações ativas em plataformas essenciais para o desenvolvimento de IA e Machine Learning. Já vimos casos recentes com o Langflow e o Metabase, agora o MLflow se junta a essa lista, expondo credenciais e sistemas críticos. A exploração de SSRF para acessar metadados de nuvem ou serviços internos é um vetor comum e perigoso, capaz de escalar para o comprometimento total da infraestrutura de uma empresa.

Para as organizações, isso significa que a gestão de vulnerabilidades e a aplicação rápida de patches precisam ser prioridades absolutas. A exposição de credenciais em ambientes de nuvem e a possibilidade de manipulação de serviços internos são riscos inaceitáveis. A recomendação de atualizar imediatamente para a versão 3.15.0 não é apenas um aviso, mas uma ação de defesa vital para proteger dados e operações contra ataques em andamento.