MLflow: Remote Code Execution durch Deserialisierung von Drittanbieter-Scorern

Zusammenfassung

MLflow-Versionen ab 3.12.0rc0 bis vor 3.17.0 akzeptieren Drittanbieter-Scorer-Module, die Untermodule freigegebener Pakete sind. Dadurch kann der Server eine Python-Datei importieren, die ein Angreifer in einem beschreibbaren Scorer-Paket platziert hat. Der Angreifer kann so Code auf dem MLflow-Server ausführen. Installationen ohne Authentifizierung sind ohne Zugangsdaten angreifbar, während Installationen mit Basic-Authentifizierung einen Benutzer benötigen, der Experimente, Runs und Artefakte erstellen kann. Zusätzlich muss das freigegebene Scorer-Paket für den Serverprozess beschreibbar sein.

Betroffen

• MLflow >= 3.12.0rc0 und < 3.17.0

Behoben in

• Auf MLflow 3.17.0 oder neuer aktualisieren.

Umgehung

• Unbekannt. Der Hersteller hat keine Workaround veröffentlicht.
• Nur als vorübergehende Massnahme: Die Verzeichnisse der freigegebenen Scorer-Pakete für den Serverprozess schreibgeschützt setzen und den Netzwerkzugriff auf den Tracking-Server einschränken. Dies ersetzt das Patchen nicht.

Ausnutzung

• Bis 28. Oktober 2026 gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn.
• Das Herstelleradvisory beschreibt einen Reproduktionspfad; es wurde kein waffenfähiger öffentlicher Exploit in Metasploit oder Exploit-DB gefunden.
• Nicht im Katalog CISA KEV aufgeführt. EPSS: 0,7 % (Perzentil 53).

Unsere Empfehlung

• Alle MLflow-Instanzen inklusive Container-Images erfassen und deren Versionen dokumentieren.
• Alle betroffenen Instanzen prioritär auf 3.17.0 oder neuer aktualisieren.
• Authentifizierung und Netzwerkexposition jeder Instanz prüfen. Instanzen, die aus Netzwerken ohne Authentifizierung erreichbar sind, sollten bis zur Prüfung als potenziell kompromittiert gelten.
• Logs und Artefakt-Speicher auf unerwartet hochgeladene Python-Dateien und unbekannte Prozesse prüfen.
• Vorübergehende Massnahmen nur bis zum Abschluss der Aktualisierung anwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  foxcornlab/mlflow-scorer-scanner

Quellen der Recherche

• GitHub Security Advisory GHSA-26p8-2jq9-3vq9 github.com
• Fix commit a732443 (mlflow/mlflow) github.com
• Pull Request #25906 (mlflow/mlflow) github.com
• MLflow release v3.17.0 github.com
• OSV GHSA-26p8-2jq9-3vq9 osv.dev
• GitLab Advisory CVE-2026-116692 (PyPI mlflow) advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:24.