CISA Tambahkan CVE-2026-64849 ke KEV - Eksploitasi Aktif Dikonfirmasi
Pada 19 Agustus 2026, CISA (Cybersecurity and Infrastructure Security Agency) memasukkan kerentanan CVE-2026-64849 ke dalam Known Exploited Vulnerabilities (KEV) catalog. Ini berarti aktor ancaman sudah terlihat mengeksploitasi celah ini di dunia nyata - bukan sekadar teori. Deadline remediasi untuk instansi pemerintah AS adalah 2 September 2026.
Kerentanan ini ada di MLflow, platform open-source yang dipakai luas untuk experiment tracking, model registry, dan deployment model AI/ML. Versi terdampak adalah semua MLflow ≤ 3.13.0. Fix tersedia di MLflow 3.15.0.
Apa Sebenarnya Kerentanannya?
CVE-2026-64849 adalah kerentanan Server-Side Request Forgery (SSRF) dengan skor CVSS 9.3 (Critical). Vektor serangan: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N - artinya penyerang tidak butuh autentikasi dan bisa menyerang dari jaringan manapun.
Endpoint yang bermasalah: POST /api/2.0/mlflow/webhooks/{id}/test. Pada konfigurasi default, endpoint ini tidak memerlukan autentikasi.
Mekanisme Bypass SSRF Guard
MLflow versi 3.10.0 ke atas punya SSRF guard bernama _validate_webhook_url() yang memblokir IP non-publik. Masalahnya, guard hanya memvalidasi URL awal. Saat kode mengeksekusi webhook test, mlflow/webhooks/delivery.py mengikuti HTTP redirect (302, 307, 308) tanpa memvalidasi ulang IP tujuan akhir.
Kenapa ini berbahaya? Bayangkan MLflow server Anda berjalan di VPC AWS. Penyerang cukup tahu alamat IP publik server, kirim satu request ke endpoint webhook test tanpa login, dan dalam hitungan detik bisa mengambil IAM credential yang tersimpan di 169.254.169.254/latest/meta-data/iam/security-credentials/. Dengan credential itu, mereka bergerak lateral ke layanan lain di akun cloud Anda.
Dua vektor bypass yang teridentifikasi:
- HTTP redirect-follow - Penyerang host endpoint HTTPS publik yang lolos validasi, lalu mengembalikan
302 Location: http://169.254.169.254/...(AWS IMDS) atauhttp://127.0.0.1:...(internal). MLflow mengikuti redirect tanpa re-validation. - DNS rebinding (TOCTOU) - Validasi DNS dan koneksi DNS terjadi terpisah tanpa IP pinning, membuka celah time-of-check to time-of-use.
Dampaknya: penyerang bisa membaca response_status dan response_body dari endpoint internal, termasuk credential IAM dari AWS metadata, data layanan internal, dan melakukan scanning port/host di jaringan internal.
Siapa yang Terdampak?
Setiap organisasi yang menjalankan MLflow self-hosted atau cloud dengan versi ≤ 3.13.0. Kerentanan ini tidak memerlukan autentikasi, jadi bahkan deployment internal yang “hanya bisa diakses VPN” tetap berisiko jika ada satu anggota tim yang membuka akses sementara untuk remote work atau debugging.
Profile organisasi yang paling perlu waspada:
- Perusahaan yang mengembangkan model AI sendiri - MLflow adalah de facto standard untuk experiment tracking di banyak tim data science Indonesia
- Tim yang menjalankan MLflow di cloud publik (AWS, GCP, Azure) - akses ke cloud metadata service membuat dampak SSRF jauh lebih berat
- Organisasi dengan MLflow tanpa autentikasi - server OSS default tidak punya auth, artinya endpoint webhook test terbuka lebar
- Managed ML platform yang membungkus MLflow - cek versi MLflow yang dipakai oleh provider; minta upgrade jika masih ≤ 3.13.0
Yang perlu dipahami: kerentanan ini bukan tentang model AI Anda dicuri. Ini tentang infrastruktur di belakang MLflow yang diakses - credential cloud, database internal, dan layanan lain di jaringan yang sama.
Checklist Mitigasi Langsung
| Langkah | Detail | Prioritas |
|---|---|---|
| Upgrade ke MLflow ≥ 3.15.0 | Fix resmi menambahkan validasi IP pada saat koneksi, bukan hanya saat URL pertama kali divalidasi. PR #24258. | P1 - Segera |
| Aktifkan autentikasi | Server MLflow OSS default tanpa auth. Pasang autentikasi untuk memblokir akses anonim ke endpoint webhook test. | P1 - Segera |
| Batasi eksposur jaringan | Jangan ekspos tracking server ke internet. Batasi akses hanya dari jaringan internal/VPN. | P1 - Segera |
| Blok outbound metadata | Blok akses keluar dari MLflow server ke 169.254.169.254 (AWS IMDS) dan endpoint metadata cloud lainnya. | P2 - Dalam 24 jam |
| Audit log akses | Periksa log MLflow untuk panggilan ke /api/2.0/mlflow/webhooks/ dari IP yang tidak dikenal dalam 30 hari terakhir. | P2 - Dalam 24 jam |
| Rotasi credential | Jika MLflow server bisa mengakses cloud metadata, rotasi credential IAM/service account yang relevan. | P2 - Setelah patch |
Status dan Timeline
- 19 Agustus 2026 - CISA menambahkan CVE-2026-64849 ke KEV catalog
- 2 September 2026 - Deadline remediasi CISA BOD 26-04 untuk instansi pemerintah AS
- Versi fix: MLflow 3.15.0
- CVE: CVE-2026-64849 | GHSA: GHSA-7gwp-5pfp-969j | CWE: CWE-918
- CVSS 3.1: 9.3 Critical
FAQ
Apa bedanya CVE-2026-64849 dengan kerentanan MLflow sebelumnya?
CVE-2026-64849 adalah SSRF di sisi server (endpoint webhook test) yang memungkinkan penyerang membaca data internal. Ini berbeda dengan CVE-2025-14279 yang merupakan DNS rebinding CSRF di sisi browser (CWE-352). Keduanya menyerang vektor berbeda dan butuh patch berbeda.
Apakah MLflow cloud-managed (Databricks, Azure ML, dsb.) terdampak?
Periksa versi MLflow yang digunakan oleh provider Anda. Jika masih ≤ 3.13.0, minta provider untuk upgrade. Managed service biasanya punya network isolation tambahan yang mengurangi risiko, tapi tetap perlu patch.
Bisakah kami sementara mematikan fitur webhook?
Ya, sebagai mitigasi sementara sebelum upgrade, nonaktifkan akses ke endpoint /api/2.0/mlflow/webhooks/ melalui firewall atau reverse proxy. Ini menghilangkan vektor serangan tanpa mengganggu training/inference pipeline yang tidak memakai webhook.
Sumber
- CISA Known Exploited Vulnerabilities Catalog - CVE-2026-64849 (ditambahkan 19 Agustus 2026)
- NVD - CVE-2026-64849
- GitHub Security Advisory - GHSA-7gwp-5pfp-969j
- MLflow Fix PR - #24258
- BleepingComputer - laporan awal (Cloudflare-protected, facts dikonfirmasi via sumber primer di atas)
myBATICloud bisa membantu mengidentifikasi eksposur keamanan di lingkungan AI/ML Anda, mengelola patch priority, dan memperkuat kontrol identitas serta jaringan. Lihat layanan keamanan kami untuk evaluasi awal tanpa komitmen.