Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-918

CVE-2026-118628

MLflow get-artifacts işlevinde sunucu taraflı istek sahteciliği (SSRF) bilgi ifşası açığı

MLflow

Yüksek 8,2 CVSS 3.0
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
1 gün
Kaydı açan
zdi

Yönetici özeti

Bu açık, MLflow kullanan sistemlerde hassas bilgilerin kimlik doğrulaması olmadan dışarı sızabileceği bir risk oluşturmaktadır. Yapay zekâ ve makine öğrenimi çalışmalarında kullanılan verilerin ve sistem bilgilerinin korunması açısından öncelikli olarak ele alınmalıdır. Etkilenen sürümlerin kullanıldığı ortamların hemen gözden geçirilmesi önerilir.

ÖzetTürkçe

MLflow'un get-artifacts işlevinde, bir URI'nin erişilmeden önce yeterince doğrulanmamasından kaynaklanan bir sunucu taraflı istek sahteciliği (SSRF) açığı bulunmaktadır. Etkilenen sürüm 3.8.0'dır. Saldırının gerçekleştirilmesi için kimlik doğrulama gerekmediği belirtilmektedir.

Saldırgan ne yapabilir?

Uzaktan bir saldırgan, sunucu bağlamında hassas bilgileri ifşa edebilir. Açığın CVSS puanı 8.2 olup bilgi gizliliği üzerindeki etkisi yüksek olarak değerlendirilmiştir.

Kaynaktaki açıklama (İngilizce)

MLflow get-artifacts Server-Side Request Forgery Information Disclosure Vulnerability. This vulnerability allows remote attackers to disclose sensitive information on affected installations of MLflow. Authentication is not required to exploit this vulnerability.

The specific flaw exists within the get-artifacts function. The issue results from the lack of proper validation of a URI prior to accessing resources. An attacker can leverage this vulnerability to disclose information in the context of the server. Was ZDI-CAN-28192.

Ne yapmalı?

  1. Etkilenen MLflow sürümünü (3.8.0) kullanıyorsanız, üretici tarafından sağlanan düzeltilmiş sürüme güncelleme yapın. Kesin düzeltilmiş sürüm numarası bu veride belirtilmemiştir; güncel sürümü üreticinin resmi kaynaklarından teyit edin. Genel öneri
  2. Düzeltme uygulanana kadar MLflow sunucusuna erişimi yalnızca güvenilir ağ ve kullanıcılarla sınırlandırın ve sunucuyu internete doğrudan açık bırakmayın. Genel öneri
  3. Sunucunun dış kaynaklara veya iç ağ adreslerine yapabileceği giden bağlantıları ağ güvenlik duvarı kuralları ile kısıtlayın. Genel öneri

Ek önlemler

  • get-artifacts işlevine yönelik olağandışı istekleri ve sunucunun beklenmedik giden bağlantılarını izleyerek kayıt altına alın. Genel öneri
  • MLflow sunucusunu ayrıcalıklı bulut kimlik bilgileri veya hassas iç servislerle aynı ağ segmentinde çalıştırmaktan kaçının. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
MLflow 3.8.0 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.