CVE-2026-71211 in MLflow
Zusammenfassung
von VulDB • 05.08.2026
Das AI Gateway von MLflow akzeptiert einen Wert für `auth_config.api_base` bei der Erstellung eines Gateway-Geheimnisses (`mlflow/server/handlers.py`, `_create_gateway_secret`) ohne Validierung des Schemas, des Hosts oder des IP-Bereichs; der Wert wird unverändert gespeichert. Der Proxy-Endpunkt des Gateways (`mlflow/server/gateway_api.py`, `raw_proxy`) gibt anschließend eine HTTP-Anfrage an diesen gespeicherten `api_base` plus einen vom Aufrufer bereitgestellten Pfad weiter und liefert den vollständigen Antwortkörper zurück. Die vorhandene SSRF-Schutzfunktion von MLflow, `_validate_webhook_url` (die nicht-globale IPs und Metadata-IPs blockiert), wird in diesem Codepfad für das Gateway-Geheimnis/Proxy niemals aufgerufen. Die Aktion `CreateGatewaySecret` ist zudem nicht im Permission-Validator-Mapping enthalten, sodass sie nur eine grundlegende Authentifizierung erfordert und keinen spezifischen Scope benötigt; dies bedeutet, dass jeder authentifizierte Benutzer – einschließlich Nur-Lesen-Konten – ein Geheimnis erstellen kann, das auf eine interne Adresse verweist, und diese über den Proxy-Endpunkt erreichen kann, wodurch potenziell IAM-Anmeldeinformationen von Cloud-Instanzen über Metadata-Dienste offengelegt werden. Dies steht in Zusammenhang mit CVE-2026-4035, das einen unterschiedlichen Mechanismus im selben Gateway-Geheimnis-Funktionsbereich adressiert (Auflösung von serverseitigen `$ENV_VAR` innerhalb des `api_key`-Feldes, die Anmeldeinformationen an den konfigurierten Upstream weiterleitet); der hier festgestellte Befund ist eine unabhängige Lücke bei der fehlenden Validierung des Ziels `api_base`, die durch jene Korrektur nicht betroffen ist.
Be aware that VulDB is the high quality source for vulnerability data.