CVE-2026-64849: Celah SSRF pada MLflow Platform AI Terbuka Dieksploitasi untuk Curi Kredensial Cloud

Platform AI Populer Jadi Sasaran Eksploitasi Aktif

CISA (Cybersecurity and Infrastructure Security Agency) pada Rabu menambahkan CVE-2026-64849 ke katalog Known Exploited Vulnerabilities (KEV) dan memerintahkan lembaga federal Amerika Serikat untuk mengamankan instance MLflow mereka dalam dua minggu. Kerentanan ini, yang tergolong kritis, menyerang fitur outbound webhook delivery pada MLflow, platform engineering AI sumber terbuka di bawah naungan Linux Foundation yang mengklaim lebih dari 30 juta unduhan per bulan.

Yang membuat situasi ini mendesak bukan hanya angka unduhannya. MLflow digunakan oleh ribuan organisasi untuk debugging, evaluasi, optimasi, dan pemantauan aplikasi berbasis large language model (LLM) dan agen AI. Ketika platform yang menjadi tulang punggung pipeline machine learning dikompromikan, dampaknya merambat ke seluruh beban kerja AI yang dikelola melalui platform tersebut.

Mekanisme Serangan: DNS-Rebinding Melewati Proteksi SSRF

Kerentanan ini dilacak sebagai SSRF bypass dengan teknik DNS-rebinding, yang sebelumnya sudah ditambatkan dalam versi 3.15.0. Masalah intinya terletak pada endpoint webhook test yang tidak memerlukan autentikasi.

MLflow Tracking Server dalam konfigurasi default tanpa autentikasi dan menggunakan backend SQLite mengekspos API model-registry webhooks secara terbuka. Salah satu endpoint-nya, POST /api/2.0/mlflow/webhooks/{id}/test, menerima request HTTP dari server dan mengembalikan status serta body respons ke pemanggil. Di sinilah kelemahannya berada.

Seorang penyerang yang bisa menjangkau tracking server dapat memaksa server mengirim HTTP request ke endpoint internal, loopback, atau cloud metadata yang arbitrari, lalu membaca responsnya melalui endpoint test yang sama. Teknik DNS-rebinding yang digunakan memungkinkan permintaan awal melewati filter validasi berbasis DNS, namun setelah DNS resolution berubah, request berikutnya diarahkan ke target internal.

Dampak paling langsung adalah pencurian kredensial cloud. AWS Instance Metadata Service (IMDS) yang berjalan pada 169.254.169.254 dapat diakses dari server yang terinfeksi, dan kredensial IAM yang tersimpan di metadata instance bisa dieksfiltrasi tanpa hambatan berarti. watchTowr, perusahaan keamanan siber, mengonfirmasi bahwa penyerang sudah mulai memindai sistem MLflow hanya dalam hitungan jam setelah CVE ID ditetapkan.

“Penyerang mengeksploitasi kerentanan ini untuk menjangkau layanan metadata cloud secara langsung, dan mengeksfiltrasi kredensial serta rahasia cloud,” demikian pernyataan watchTowr. “Jika organisasi Anda menjalankan MLflow, prioritaskan penambalan sistem yang terekspos, tinjau log audit untuk tanda-tanda kompromi, dan periksa apakah kredensial sensitif mungkin telah terekspos.”

Siapa yang Berisiko dan Seberapa Luas Dampaknya

Penting untuk dipahami bahwa kerentanan ini tidak memerlukan autentikasi untuk dieksploitasi. Penyerang hanya perlu bisa menjangkau tracking server dari jaringan mereka. Dalam skenario serangan jarak jauh, setiap MLflow server yang terekspos ke internet menjadi target potensial.

Dari sisi organisasi, risikonya bersifat bertingkat. Pencurian kredensial AWS IAM bisa berarti pengambilalihan penuh akun cloud, termasuk akses ke data sensitif, deploy cryptominer yang menghasilkan biaya besar, atau persistensi jangka panjang melalui pembuatan akun admin palsu. watchTowr juga menunjukkan bahwa celah ini bisa dipakai untuk memindai port dan host internal, yang membuka jalan bagi lateral movement ke layanan lain di belakang firewall.

Yang perlu dicatat, MLflow sering kali berjalan dalam lingkungan pengembangan atau data science di mana proteksi keamanan mungkin tidak setegas di lingkungan produksi. Server yang menjalankan MLflow tanpa autentikasi, yang merupakan konfigurasi default, berada di posisi paling rentan. Banyak organisasi mungkin tidak menyadari bahwa instance MLflow mereka terekspos karena dianggap sebagai tool internal.

Langkah Mitigasi yang Perlu Dilakukan

Langkah pertama dan paling mendesak adalah melakukan update ke versi 3.15.0 atau lebih baru yang sudah menambal CVE-2026-64849. Bagi organisasi yang menjalankan versi lebih lama, patch ini sudah tersedia sejak tiga minggu sebelum advisory CISA dirilis, sehingga sudah ada jangka waktu yang cukup untuk penambalan.

Untuk organisasi yang tidak bisa langsung melakukan update, membatasi akses ke MLflow tracking server agar hanya bisa diakses dari jaringan internal yang terkontrol menjadi langkah mitigasi sementara yang layak dipertimbangkan. Mengaktifkan autentikasi pada MLflow server juga mengurangi permukaan serangan secara signifikan.

Di luar penambalan, organisasi perlu meninjau log audit MLflow untuk mendeteksi tanda-tanda eksploitasi yang mungkin sudah terjadi. Khususnya, perhatikan permintaan HTTP yang tidak wajar ke endpoint webhook test, serta aktivitas akses metadata service dari server MLflow. Kredensial AWS IAM yang mungkin sudah terekspos harus segera dirotasi.

Kasus ini juga menjadi pengingat bahwa platform AI yang populer tidak otomatis aman dari sudut pandang keamanan infrastruktur. Dengan pertumbuhan adopsi AI yang masif, serangan terhadap toolchain ML menjadi strategi yang semakin menarik bagi penyerang karena satu celah di sini bisa berdampak ke ratusan proyek sekaligus.