MLflow Webhook 테스트 엔드포인트 SSRF(서버 측 요청 위조) 취약점 (CVE-2026-64849)

1. 공식 패치 적용 (권장)

MLflow 버전을 3.15.0 이상으로 업그레이드하십시오. 이 버전에서는 리다이렉트 시에도 대상 주소를 재검증하고 고정하는 로직이 반영되었습니다.

# pip를 사용하는 경우
pip install --upgrade mlflow>=3.15.0

# poetry를 사용하는 경우
poetry add mlflow@latest

2. 임시 완화 조치 (패치 적용 전)

즉각적인 업그레이드가 어려운 경우, 다음과 같은 네트워크 및 인프라 수준의 완화 조치를 적용하십시오.

• WAF(웹 애플리케이션 방화벽) 규칙 적용:

/api/2.0/mlflow/webhooks/.*/test 경로로 인입되는 외부 요청을 차단하십시오.

• 클라우드 메타데이터 서비스(IMDS) 보호:

AWS 환경의 경우 IMDSv2를 필수로 활성화하고 홉 제한(Hop Limit)을 1로 설정하여 컨테이너/포드 내부에서 메타데이터에 접근하는 것을 방지하십시오.

• 네트워크 아웃바운드 제한:

MLflow 서버가 실행되는 컨테이너 또는 인스턴스에서 내부 사설 IP 대역(10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) 및 링크 로컬 주소(169.254.169.254)로의 아웃바운드 요청을 방화벽(Security Group, NetworkPolicy 등)을 통해 차단하십시오.

MLflow AI 엔지니어링 플랫폼에서 심각한 수준의 서버 측 요청 위조(SSRF, CWE-918) 취약점이 발견되었습니다. 이 취약점은 인증이 필요 없는 POST /api/2.0/mlflow/webhooks/{id}/test 엔드포인트에서 발생합니다.

취약점 발생 원인 및 메커니즘:

• 불완전한 검증: MLflow의 mlflow/utils/validation.py 내 _validate_webhook_url() 함수는 사용자가 제공한 최초 URL에 대해서만 유효성 검증을 수행합니다.
• 리다이렉트 추적 및 재해석: 실제 웹훅 요청을 전송하는 mlflow/webhooks/delivery.py 모듈은 HTTP 리다이렉션(3xx)을 허용하며, 검증된 IP 주소를 고정(Pinning)하지 않은 채 호스트 이름을 다시 해석(Re-resolve)합니다.
• 우회 공격: 공격자는 검증을 통과하는 외부 도메인을 입력한 후, 해당 도메인이 내부 IP 주소(예: 루프백 주소 127.0.0.1 또는 클라우드 메타데이터 서비스 주소 169.254.169.254)로 리다이렉트되도록 설정하여 검증 로직을 우회할 수 있습니다.

파급력: 이 취약점은 CVSS 9.3의 치명적(Critical) 등급으로 평가되었으며, CISA KEV(악용된 취약점 카탈로그)에 등재되어 실제 공격에 악용되고 있음이 확인되었습니다. 공격자는 이 취약점을 통해 내부 네트워크의 비공개 서비스에 접근할 수 있을 뿐만 아니라, AWS/GCP/Azure 등 클라우드 환경의 메타데이터 서비스(IMDS)로부터 임시 자격 증명(IAM Credentials)을 탈취하여 클라우드 인프라 전체를 장악할 수 있습니다.