MLflow چیست؟
MLflow یک پلتفرم متن‌باز مهندسی هوش مصنوعی برای توسعه و مدیریت مدل‌های زبانی بزرگ (LLMs) و عامل‌های هوش مصنوعی (AI Agents) است که تحت حمایت بنیاد لینوکس (Linux Foundation) فعالیت می‌کند. این پلتفرم با بیش از 30 میلیون دانلود ماهانه، توسط هزاران سازمان برای دیباگ (Debug)، ارزیابی، بهینه‌سازی و مانیتورینگ اپلیکیشن‌های هوش مصنوعی استفاده می‌شود.
جزئیات آسیب‌پذیری بحرانی MLflow
آسیب‌پذیری بحرانی MLflow با شناسه CVE-2026-64849، یک ضعف امنیتی از نوع جعل درخواست سمت سرور (SSRF) است و به سازوکار ارسال وب‌هوک‌های خروجی (Outbound Webhook) این پلتفرم مربوط می‌شود. مهاجمان می‌توانند با استفاده از تکنیک DNS Rebinding محدودیت‌های امنیتی این سازوکار را دور بزنند.
این آسیب‌پذیری در نسخه 3.15.0 پچ شده است. بااین‌حال، در نمونه‌هایی که هنوز پچ امنیتی را دریافت نکرده‌اند، مهاجمان می‌توانند بدون نیاز به هیچ سطح دسترسی یا مجوز خاصی از این آسیب‌پذیری سوءاستفاده کنند و از راه دور به سرویس‌های داخلی یا متادیتای سرویس‌های ابری دسترسی پیدا کنند.
چگونه پیکربندی پیش‌فرض MLflow زمینه سوءاستفاده را فراهم می‌کند؟
تیم امنیتی MLflow در یک اطلاعیه امنیتی توضیح داده است که کامپوننت MLflow Tracking Server در پیکربندی پیش‌فرض، یعنی اجرای mlflow server بدون احراز هویت و با SQLite به‌عنوان بک‌اند (Backend) پیش‌فرض، API مربوط به وب‌هوک‌های رجیستری مدل را بدون نیاز به احراز هویت در دسترس قرار می‌دهد.
یکی از Endpointهای مهم این API به مسیر زیر اختصاص دارد:
POST /api/2.0/mlflow/webhooks/{id}/test
این Endpoint درخواست را به‌صورت همگام پردازش می‌کند و سپس کد وضعیت و بدنه پاسخ سرویس مقصد را به ارسال‌کننده درخواست بازمی‌گرداند.
به زبان ساده، در صورت اجرای MLflow Tracking Server با پیکربندی پیش‌فرض، مهاجم می‌تواند از این Endpoint برای وادار کردن سرور به ارسال درخواست به مقصدهای مختلف استفاده کند و پاسخ آن‌ها را نیز مشاهده نماید. در چنین شرایطی، آسیب‌پذیری بحرانی MLflow می‌تواند امکان دسترسی مهاجم به سرویس‌هایی را فراهم کند که نباید مستقیماً از طریق سرور در دسترس باشند.
دسترسی به سرویس‌های داخلی از طریق Tracking Server
مهاجمی که بتواند بدون احراز هویت به Tracking Server دسترسی پیدا کند، می‌تواند سرور را وادار کند درخواست‌های HTTP را به Endpointهای دلخواه در شبکه داخلی، لوپ‌بک (loopback) یا سرویس‌های متادیتای ابری ارسال کند. سپس مهاجم می‌تواند پاسخ این درخواست‌ها را از طریق Endpoint /test دریافت کند.
مهاجم در این شرایط می‌تواند سرویس‌ها و منابع داخلی مختلفی را هدف قرار دهد، از جمله:
- متادیتای نمونه‌های ابری، از جمله اعتبارنامه‌های IAM قابل دسترسی از طریق AWS IMDS
- سرویس‌های مدیریتی داخلی که تنها از داخل شبکه قابل دسترسی هستند و از خارج شبکه دسترسی مستقیمی به آن‌ها وجود ندارد.
- پورت‌ها و میزبان‌های داخلی از طریق اسکن پورت و میزبان
در چنین حملاتی، آسیب‌پذیری بحرانی MLflow می‌تواند به مهاجمان اجازه دهد با یک حمله نسبتاً ساده، اعتبارنامه‌های ابری، از جمله اعتبارنامه‌های مدیریت هویت و دسترسی AWS (IAM) را سرقت کنند.
CISA آسیب‌پذیری بحرانی MLflow را در فهرست KEV قرار داد
CISA این آسیب‌پذیری را به فهرست KEV اضافه کرد و از سازمان‌های زیرمجموعه شعبه اجرایی غیرنظامی دولت فدرال آمریکا (FCEB) خواست سامانه‌های آسیب‌پذیر MLflow خود را حداکثر ظرف دو هفته ایمن کنند.
این دستور بر اساس دستورالعمل عملیاتی لازم‌الاجرا BOD 26-04 صادر شده است. این دستورالعمل که در ماه ژوئن ابلاغ شد، سازمان‌های دولتی آمریکا را موظف می‌کند در صورت وجود هر یک از شرایط زیر، نصب پچ روی سامانه‌های آسیب‌پذیر را در اولویت قرار دهند:
- دارایی آسیب‌پذیر به‌صورت عمومی و از طریق اینترنت در دسترس باشد؛
- آسیب‌پذیری در فهرست KEV سازمان CISA قرار گرفته باشد؛
- امکان خودکارسازی اکسپلویت برای اجرای حملات گسترده وجود داشته باشد؛
- سوءاستفاده موفق از آسیب‌پذیری بتواند کنترل جزئی یا کامل سیستم هدف را در اختیار مهاجم قرار دهد.
آغاز اسکن سیستم‌های MLflow توسط مهاجمان
CISA هنوز جزئیات بیشتری درباره این حملات منتشر نکرده است. بااین‌حال، شرکت امنیت سایبری watchTowr اعلام کرد که مهاجمان تنها چند ساعت پس از انتشار شناسه CVE-2026-64849، اسکن سیستم‌های MLflow را آغاز کردند. به گفته watchTowr، مهاجمان از این آسیب‌پذیری بحرانی MLflow برای دسترسی مستقیم به سرویس‌های متادیتای ابری، استخراج اعتبارنامه‌ها و اطلاعات حساس ابری استفاده می‌کنند.
این شرکت به سازمان‌هایی که از MLflow استفاده می‌کنند توصیه کرده است:
- سامانه‌هایی را که از طریق اینترنت در دسترس هستند، در اولویت نصب پچ قرار دهند.
- لاگ‌های ممیزی (Audit Logs) را برای شناسایی نشانه‌های نفوذ بررسی کنند.
- احتمال افشای اعتبارنامه‌های حساس در جریان این حملات را بررسی کنند.
هشدار CISA درباره یک آسیب‌پذیری بحرانی دیگر
CISA هشدار داده است که مهاجمان از یک آسیب‌پذیری با شدت بحرانی در کامپوننت Windows Internet Key Exchange (IKE) Service Extensions (افزونه‌های سرویس تبادل کلید اینترنت ویندوز) سوءاستفاده می‌کنند. این آسیب‌پذیری از نوع اجرای کد از راه دور (RCE) است و می‌تواند به مهاجم امکان اجرای کد روی سیستم هدف را بدهد.
