mlflow: `/ajax-api/3.0/jobs/*` 下的 FastAPI 作业端点未受到身份验证或授权保护

此漏洞的影响非常严重，攻击者无需身份验证即可完全控制 MLflow 任务执行。如果启用了任务执行 (MLFLOWSERVERENABLEJOBEXECUTION=true) 并且允许列表中的任何任务函数执行特权操作（例如 shell 执行或文件系统更改），攻击者可以利用此漏洞在服务器上执行任意代码。攻击者可以利用此漏洞窃取敏感数据、破坏系统或将其用作进一步攻击的跳板。由于 MLflow 经常用于机器学习工作流程，因此此漏洞可能对整个组织的安全构成威胁。

Organizations deploying MLflow in production environments, particularly those with job execution enabled and exposed to external networks, are at significant risk. Shared hosting environments where multiple users share the same MLflow instance are also particularly vulnerable, as an attacker could potentially compromise the entire environment.

• python / server:

import requests
import json

url = 'http://your-mlflow-server/ajax-api/3.0/jobs/'

try:
    response = requests.get(url, timeout=5)
    response.raise_for_status()
    if response.status_code == 200:
        print('Potential vulnerability: Unauthenticated access to job endpoints.')
    else:
        print('Endpoint access restricted (expected).')
except requests.exceptions.RequestException as e:
    print(f'Error connecting to endpoint: {e}')

• linux / server:

journalctl -u mlflow -f | grep -i "unauthorized access"

• generic web:

curl -I http://your-mlflow-server/ajax-api/3.0/jobs/ | grep -i 'HTTP/1.1 200 OK'

1. 2026-04-03Disclosure

   disclosure

1. 已保留2026-01-01
2. 发布日期2026-04-03
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-11

缓解此漏洞的首要措施是升级到修复后的 MLflow 版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，禁用任务执行 (MLFLOWSERVERENABLEJOBEXECUTION=false) 以阻止未经身份验证的任务提交。其次，实施严格的访问控制，确保只有授权用户才能访问 /ajax-api/3.0/jobs/* 端点。可以使用防火墙规则或 MLflow 的身份验证机制来实现此目的。最后，监控 MLflow 日志，查找任何可疑活动。升级后，验证身份验证和授权是否已正确配置，以防止未经授权的任务执行。