В MLflow нашли SSRF через сервер оценки моделей без аутентификации
Разработчики MLflow 22 октября опубликовали предупреждение о серверной подделке запросов (SSRF) в tracking server — компоненте, который хранит эксперименты, трассировки и результаты оценки моделей. Проблема получила идентификатор CVE-2026-115886 и исправлена в MLflow 3.17.0.
Что произошло
Уязвимый endpoint /ajax-api/3.0/mlflow/scorer/invoke принимал запросы без аутентификации. В сценарии, описанном сопровождающими, сервер отражённо создавал класс стороннего scorer из данных JSON: проверял путь модуля, но не ограничивал имя атрибута и аргументы конструктора. При наличии необязательных пакетов trulens и trulens-providers-litellm это позволяло заставить MLflow отправить исходящий HTTP-запрос на адрес, выбранный атакующим, с управляемыми заголовками и телом.
По описанию advisory, запрос выполнялся с сетевой позиции сервера. Поэтому потенциальной целью могли стать внутренние сервисы или endpoint метаданных облака, доступные MLflow. Для эксплуатации требовалась установка указанных дополнительных пакетов; они не входят в базовую поставку MLflow.
Что исправили
Сопровождающие оценили проблему как Moderate, CVSS 3.1 — 6,5. Затронуты версии от 3.12.0rc0 до 3.16.x, исправленная версия — 3.17.0. Операторам MLflow стоит обновить сервер, проверить, был ли endpoint доступен без аутентификации, и ограничить исходящие соединения к внутренним адресам и облачным metadata-сервисам. Само наличие advisory не подтверждает эксплуатацию конкретных установок.