A CISA adicionou uma nova vulnerabilidade ao seu Catálogo de Vulnerabilidades Conhecidas e Exploita (KEV), devido a evidências de exploração ativa. A vulnerabilidade, identificada como CVE-2026-64849, é uma falha de Forçamento de Solicitação do Lado do Servidor (Server-Side Request Forgery, SSRF) no MLflow, uma plataforma de engenharia de IA de código aberto.
Detalhes Técnicos
A vulnerabilidade afeta o endpoint /api/2.0/mlflow/webhooks/{id}/test do MLflow, permitindo que atores maliciosos acessem serviços internos ou de nuvem e obtenham informações sensíveis.
A falha foi corrigida na versão 3.15.0 do MLflow.
O CVSS da vulnerabilidade é 9.3 (CRÍTICO), indicando um risco significativo para as organizações.
Recomendações
Atualize o MLflow para a versão 3.15.0 ou posterior.
Verifique se há atualizações de segurança disponíveis para o MLflow.
Implemente medidas de segurança adicionais para proteger contra ataques de Forçamento de Solicitação do Lado do Servidor (SSRF).
