CISA đưa MLflow CVE-2026-64849 vào KEV: kiểm tra webhook và SSRF

CISA KEV hiển thị CVE-2026-64849, sản phẩm MLflow và ngày thêm 19/08/2026. GitHub Security Advisory GHSA-7gwp-5pfp-969j được công bố ngày 02/08 và cập nhật 17/08/2026, ghi affected versions < 3.15.0 và patched version 3.15.0. NVD cũng mô tả issue được sửa trong 3.15.0.

Upstream cho biết webhook test endpoint có thể kiểm tra URL gốc nhưng theo redirect và resolve lại mà không pin địa chỉ đã xác minh. Trong cấu hình được mô tả, điều này có thể cho phép request tới internal/cloud metadata và phản hồi body về caller. NetVali kiểm tra nguồn lúc 05:28 ngày 20/08/2026 (UTC+7).

Điểm mới ngày 19/08 là trạng thái KEV dựa trên bằng chứng khai thác, không phải ngày CVE lần đầu xuất hiện. Điều đáng chú ý về kiến trúc là khoảng cách giữa validation và use: URL/hostname có thể hợp lệ tại bước kiểm tra nhưng redirect hoặc DNS resolution sau đó đưa request tới đích khác.

KEV là tín hiệu ưu tiên remediation. Affected/fixed mapping vẫn phải lấy từ advisory/release upstream đúng thời điểm. Không suy rộng rằng mọi MLflow instance có cùng exposure; authentication, network ingress/egress và deployment mode có thể khác.

Đội vận hành cần lập topology từ user/CI tới MLflow Tracking Server, model registry, webhook targets, reverse proxy, service mesh, egress proxy và cloud metadata service. Một instance chỉ nội bộ vẫn có thể nằm trong đường tấn công qua tài khoản hoặc workload đã bị xâm nhập; một instance internet-facing có risk khác.

Lớp · Cần kiểm chứng · Bằng chứng Version · Package/container image · SBOM, lockfile, image digest Exposure · Ingress, DNS, LB, auth · Route/config + access log Webhook · Endpoint và target · MLflow audit/app log Egress · Redirect, private IP, metadata · Proxy/firewall/flow log Cloud · Metadata protection, workload identity · Cloud config/audit log Remediation · 3.15.0 hoặc mới hơn · Deploy record + regression test

Alt: “Đường request SSRF qua redirect trong MLflow webhook delivery.”

Platform/ML engineering, MLOps, cloud security, AppSec, SOC/IR và đội quản lý container/Kubernetes cần phối hợp. Chủ dự án nên tìm cả MLflow chạy tạm trong notebook, CI, dev environment và demo cluster, không chỉ dịch vụ production đã đăng ký.

Đơn vị dùng managed service phải xác nhận trách nhiệm với nhà cung cấp: phiên bản control plane/data plane, phạm vi patch và log có sẵn. Không giả định “managed” đồng nghĩa đã khắc phục.

KEV không cho biết hệ thống cụ thể đã bị khai thác. Không thể kết luận có truy cập metadata chỉ từ việc endpoint tồn tại. Cũng không nên dùng CVSS từ nguồn thứ ba nếu upstream/NVD thay đổi; trước khi đăng phải kiểm tra bản ghi hiện hành.

Nâng cấp là hành động chính theo upstream, nhưng không thay thế điều tra nếu instance đã phơi bày. Egress blocking có thể giảm risk nhưng cần test ảnh hưởng webhook hợp lệ và không được quảng bá như bản vá tương đương nếu upstream không nói vậy.

• [ ] Tìm MLflow qua inventory, image registry, SBOM và process/package scan.
• [ ] Ghi version, image digest, deployment mode và owner.
• [ ] Xác minh endpoint có thể truy cập từ đâu và auth thực tế.
• [ ] Rà webhook configuration, test activity và access log.
• [ ] Thu egress/proxy/DNS/flow log trước khi thay đổi.
• [ ] Kiểm tra quyền tới cloud metadata và workload credentials.
• [ ] Đối chiếu GHSA và release 3.15.0 ngay trước maintenance.
• [ ] Nâng cấp theo quy trình, giữ rollback và backup metadata.
• [ ] Regression test tracking, registry và webhook hợp lệ.
• [ ] Kiểm tra lại exposure và alert sau remediation.

• SSRF: Server bị điều khiển gửi request tới đích ngoài ý muốn.
• Webhook: Callback HTTP khi sự kiện xảy ra.
• DNS rebinding: Tên miền thay đổi cách resolve để vượt kiểm tra địa chỉ.
• Cloud metadata: Dịch vụ nội bộ cung cấp metadata/credential cho workload.
• KEV: Danh mục CISA về lỗ hổng có bằng chứng khai thác.
• Egress control: Chính sách giới hạn kết nối đi ra từ workload.