Kubeflow Model Registry: Server-side Request Forgery im InferenceService-Controller

Zusammenfassung

Kubeflow Model Registry bis 0.3.17 enthält eine Server-side Request Forgery (SSRF)-Schwachstelle im InferenceService-Controller, der die Annotation modelregistry.kubeflow.org/url verarbeitet. Ein authentifizierter Benutzer mit Zugriff auf einen Namespace kann diese Annotation auf einen vom Angreifer kontrollierten Server richten, sodass der Controller seinen ServiceAccount-Bearer-Token dorthin sendet. Mit dem gestohlenen Token kann der Angreifer InferenceServices anderer Mandanten clusterweit verändern.

Betroffen

• Kubeflow Model Registry (heute Kubeflow Hub) Versionen 0 bis 0.3.17
• Standardkonfiguration: nicht betroffen (laut CNA-Eintrag)

Behoben in

Unbekannt. Der Hersteller hat noch keine korrigierte Version bestätigt.

Umgehung

Kein vom Hersteller veröffentlichter Workaround gefunden. Empfohlene Massnahmen:

• Erstellen und Ändern von InferenceServices sowie deren Annotationen mit Kubernetes RBAC auf vertrauenswürdige Administratoren beschränken.
• Ausgehenden Netzwerkzugriff des Controllers mit Network Policies einschränken.
• Bestehende InferenceServices auf unerwartete modelregistry.kubeflow.org/url-Annotationen prüfen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein bestätigter öffentlicher Proof of Concept gefunden; ein technischer Bericht existiert, konnte jedoch nicht überprüft werden.
• CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar.
• EPSS 0.00305 (niedrig).

Unsere Empfehlung

• Prüfen, ob Kubeflow Model Registry oder Kubeflow Hub eingesetzt wird und welche Version läuft.
• Falls Version 0.3.17 oder älter im Einsatz ist, das Erstellen und Ändern von InferenceService-Annotationen sofort auf vertrauenswürdige Administratoren beschränken.
• Bestehende InferenceServices auf unerwartete url-Annotationen prüfen und clusterweite Änderungen an InferenceServices überwachen.
• Ein Upgrade planen, sobald die Maintainer eine korrigierte Version bestätigen.
• Bei Verdacht auf Missbrauch den ServiceAccount-Token des Controllers rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Kubeflow Hub repository github.com
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-110220 osv.dev
• Kubeflow Hub releases github.com
• Controller main.go at v0.3.17 github.com
• Controller source at v0.3.17 github.com
• Technical write-up (HackMD) hackmd.io
• VulDB entry 417951 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 14:26.