MLflow: Path Traversal über Trace-ID im FileStore-Backend

Zusammenfassung

MLflow 3.17.1 und frühere Versionen enthalten eine Path-Traversal-Schwachstelle im FileStore-Tracking-Backend. Ein nicht authentifizierter Angreifer, der den Endpunkt POST /api/3.0/mlflow/traces erreichen kann, kann eine präparierte Trace-ID mit Traversal-Sequenzen senden. Dadurch schreibt der Server Dateien wie trace_info.yaml sowie Metadaten- und Tag-Dateien ausserhalb des Trace-Verzeichnisses des Experiments. Der Schreibzugriff ist durch die Dateisystemberechtigungen des Serverprozesses begrenzt, und der öffentliche PoC zeigt nur eine Beeinträchtigung der Integrität, keine Codeausführung. Standardmässig betroffen sind Versionen vor MLflow 3.7.0; ab 3.7.0 nur, wenn FileStore explizit gewählt wird. Die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend; der CVSS-4.0-Wert von 8.8 stammt aus dem CVE-Eintrag.

Betroffen

• MLflow 3.17.1 und frühere Versionen
• Nur relevant mit dem FileStore-Tracking-Backend: Standard vor 3.7.0, ab 3.7.0 optional (der Standard wurde auf SQLite geändert)
• Korrekturen in anderen gepflegten Zweigen: Unbekannt.

Behoben in

• MLflow 3.17.2 (Korrektur upstream in PR #26842, Release-Tag v3.17.2)
• Ein Upgrade nur des Python-Clients schützt einen verwundbaren Tracking-Server nicht.

Umgehung

• Keine Workaround-Massnahme des Herstellers dokumentiert. Unbekannt.
• Netzwerkzugriff auf den Tracking-Server auf vertrauenswürdige Hosts beschränken.
• Den Tracking-Server unter einem Dienstkonto mit minimalen Rechten betreiben.
• Prüfen, ob FileStore verwendet wird.

Ausnutzung

• Ein öffentliches Proof-of-Concept-Repository existiert; dessen Inhalt wurde für diesen Eintrag nicht geprüft.
• CISA SSVC: Exploitation: poc, Automatable: yes, Technical Impact: partial.
• Laut den geprüften Quellen nicht im CISA-KEV-Katalog gelistet. Keine Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• MLflow-Tracking-Server auf 3.17.2 oder neuer aktualisieren.
• Bis zur Aktualisierung den Zugriff auf den Tracking-Server auf vertrauenswürdige Netzwerke beschränken und Authentifizierung am Netzwerkrand verlangen.
• Prüfen, welches Tracking-Backend verwendet wird; betroffen sind FileStore-Installationen.
• Verzeichnisse rund um den Trace-Speicher auf unerwartete Dateien und Metadaten prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  SaiTeja-Erukude/CVE-2026-53995-mlflow-path-traversal

Quellen der Recherche

• CVE-2026-53995 MLflow path traversal PoC repository github.com
• Upstream fix: MLflow PR #26842 github.com
• VulnCheck advisory: MLflow path traversal via trace ID API www.vulncheck.com
• OSV entry BIT-mlflow-2026-53995 osv.dev
• GitHub Security Advisory GHSA-wqmh-qccw-pqwf github.com
• CVE record summary (threatint) cve.threatint.com
• Downstream report of fix in MLflow 3.17.2 github.com
• Aggregator: KEV and exploitation status (HOL Guard) hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:43.