近期安全研究機構 watchTowr 與 VulnCheck 發布報告，指出兩款開源軟體 MLflow 與 FUXA 存在嚴重的安全漏洞，且已在野外被攻擊者積極掃描與利用。其中，針對人工智慧開發平台 MLflow 的漏洞尤為危險，攻擊者可藉此直接獲取雲端環境的敏感憑證。
背景與問題
MLflow 是一個廣泛應用於機器學習生命週期管理的開源平台，負責追蹤實驗、封裝程式碼以及管理模型版本。由於許多企業將 MLflow 部署在雲端環境（如 AWS、Azure 或 GCP）中，這些伺服器通常擁有存取雲端內部資源的權限。
然而，MLflow 出現了一個編號為 CVE-2026-64849 的嚴重漏洞，其 CVSS 評分高達 9.3 分。該漏洞屬於伺服器端請求偽造，即 Server-Side Request Forgery (SSRF)。SSRF 是一種安全漏洞，允許攻擊者誘導伺服器發出非預期的 HTTP 請求，將伺服器當作代理伺服器，用以攻擊內部網路或存取本應被防火牆阻隔的內部服務。
核心運作方式
根據 watchTowr 的分析，這次的漏洞存在於 MLflow 的模型註冊表 Webhooks 功能中。Webhooks 通常用於在特定事件發生時（例如模型版本更新）自動通知外部系統。攻擊者可以利用此功能，構造特定的請求來代理流量，進而與伺服器內部的服務進行互動。
最危險的攻擊路徑在於，攻擊者會將請求導向雲端平台的元數據服務（Cloud Metadata Service）。在大多數雲端環境中，伺服器可以透過存取特定的內部 IP 地址來獲取自身的身份資訊、暫時性金鑰或配置細節。由於該漏洞在處理網頁重新導向（Web Redirects）時存在缺陷，導致先前的修復措施被繞過。攻擊者只要能接觸到 MLflow 的追蹤伺服器（Tracking Server），無需任何身份驗證，即可透過 SSRF 漏洞提取出雲端憑證與機密金鑰。
影響與實務意義
此漏洞的影響極其深遠，因為一旦雲端憑證被竊取，攻擊者可能獲得該伺服器所屬的 IAM 角色權限。這意味著攻擊者不再僅僅能控制 MLflow 平台，而是可能進一步滲透到企業的整個雲端基礎設施中，讀取私有儲存桶（S3 Buckets）、修改資料庫或部署惡意資源。
watchTowr 的全球蜜罐監測數據顯示，在漏洞編號於 2026 年 8 月 17 日公布後的數小時內，攻擊者便開始對全球公開暴露的 MLflow 實例進行無差別掃描。這種快速的反應速度顯示攻擊者已準備好自動化工具，旨在大規模獲取雲端權限。
除 MLflow 外，工業自動化軟體 FUXA 同時被發現存在 CVE-2026-25895 漏洞（CVSS 9.5）。該漏洞結合了身份驗證缺失與路徑遍歷（Path Traversal），允許遠端攻擊者在伺服器檔案系統中寫入任意檔案，進而達成遠端程式碼執行（Remote Code Execution, RCE）。雖然 VulnCheck 觀察到攻擊者嘗試覆蓋關鍵的 JavaScript 檔案，但目前尚未發現成功的 RCE 攻擊載荷，不過該軟體在工業控制系統（OT）中的應用，使其成為高風險目標。
限制與建議措施
對於運行 MLflow 3.15.0 以前版本的組織，目前的唯一有效防禦是立即更新至最新版本。僅靠邊緣的防火牆規則可能不足夠，因為 SSRF 攻擊是利用合法的功能路徑發起內部請求。
企業在修補漏洞後，應採取以下補救措施：首先審查稽核日誌（Audit Logs），檢查是否有異常的內部網路請求或對元數據服務的存取記錄。其次，必須假設相關的雲端憑證可能已經外洩，採取輪換（Rotate）金鑰與憑證的動作，以確保即便攻擊者持有舊金鑰也無法再次進入系統。最後，建議遵循最小權限原則（Principle of Least Privilege），限制 MLflow 伺服器所屬的雲端角色權限，降低單一節點被攻破後導致全盤崩潰的風險。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。