MLflow und FUXA unter Angriff: Kritische Schwachstellen in KI und industrieller Automatisierung werden ausgenutzt

Aktive Scans gegen MLflow-Server und FUXA-Installationen

Derzeit laufen Scans und Ausnutzungsversuche gegen öffentlich erreichbare Installationen von MLflow, einer Open-Source-Plattform zur Verwaltung von Machine-Learning-Workflows, sowie von FUXA, einer webbasierten SCADA/HMI-Software für OT- und Industrieumgebungen.

Die Aktivitäten wurden von watchTowr und VulnCheck beobachtet. Bei MLflow begannen die Scans innerhalb weniger Stunden nach der Vergabe von CVE-2026-64849 am 17. August 2026. Für FUXA registrierte VulnCheck am 18. August 2026 schädliche Aktivitäten. Dabei suchte eine IP-Adresse systematisch nach aus dem Internet erreichbaren Installationen.

Nach aktuellen Schätzungen sind etwa 60 FUXA-Installationen öffentlich exponiert. Bei den beobachteten Anfragen wurde versucht, die Datei main.js mithilfe der Schwachstelle CVE-2026-25895 zu überschreiben. Bislang wurden im Rahmen dieser Aktivitäten keine Payloads zur Codeausführung abgelegt. Die Technik kann jedoch eine vollständige Kompromittierung des Servers vorbereiten.

Die beiden Plattformen weisen unterschiedliche Risikoprofile auf. MLflow kann zu einem Zugangspunkt für Cloud-Anmeldedaten und interne Dienste werden. FUXA kann direkt Automatisierungssysteme, ICS-Komponenten und industrielle Prozesse exponieren.

MLflow: SSRF ermöglicht den Zugriff auf interne Dienste und Cloud-Metadaten

Bei CVE-2026-64849 handelt es sich um eine nicht authentifizierte Server-Side Request Forgery (SSRF). Betroffen ist die Webhook-Zustellung des Model Registry. Ausnutzen lässt sich die Schwachstelle von jedem Angreifer, der den MLflow-Tracking-Server erreichen kann.

Der betroffene Endpunkt lautet:

POST /api/2.0/mlflow/webhooks/{id}/test

Ein Angreifer kann den Server dazu bringen, HTTP-Anfragen an Loopback-Adressen, interne Hosts, Administrationsschnittstellen und Metadatendienste von Cloud-Infrastrukturen zu senden. Die Antwort des Zielsystems wird anschließend über den Test-Endpunkt zurückgegeben, einschließlich HTTP-Status und Inhalt.

Es handelt sich daher nicht um eine „blinde“ SSRF. Der Angreifer kann direkt auslesen, was der Server erreicht – darunter IAM-Token, temporäre Zugangsdaten und andere in Cloud-Diensten vorhandene Geheimnisse. Im Archiv wird die Schwachstelle mit CVSS 9.3 bewertet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

Das Problem entsteht durch das Zusammenspiel mehrerer Fehler bei der Zielvalidierung. Die Funktion _validate_webhook_url, die ab Version 3.10.0 eingeführt wurde, löst den Hostnamen auf und blockiert private, Loopback- und Link-Local-Adressen sowie Metadaten-Endpunkte. Die geprüfte Adresse wird jedoch nicht an die nachfolgende Verbindung gebunden.

Außerdem folgt der Server Redirects, da die HTTP-Session allow_redirects=False nicht setzt. Das im Redirect angegebene Ziel wird anschließend nicht erneut validiert. Dadurch werden auch DNS-Rebinding-Szenarien möglich: Während der Prüfung löst der Host auf eine öffentliche Adresse auf, zum Zeitpunkt der Verbindung jedoch auf eine interne Ressource.

Ein öffentlicher HTTPS-Endpunkt kann beispielsweise mit einem 302-Redirect auf folgende Adresse antworten:

http://169.254.169.254/latest/meta-data/iam/security-credentials/

Auch 307- oder 308-Redirects sind möglich. Sie behalten Methode und Request-Body bei und können dadurch Varianten ermöglichen, bei denen in das interne Ziel geschrieben wird.

Die Schwachstelle wurde unter mlflow==3.13.0 mit der standardmäßig verwendeten SQLite-Datenbank bestätigt. Eine Authentifizierung ist nicht erforderlich: Im Standardserver sind Webhooks nicht geschützt. Autorisierungsprüfungen stehen nur über ein optionales Plugin zur Verfügung, das nicht automatisch geladen wird.

Die Angaben zu den betroffenen Versionen sind nicht vollständig konsistent. Einer operativen Einstufung zufolge sind Versionen vor 3.15.0 verwundbar. Das technische Advisory bestätigt dagegen die Auswirkungen für 3.13.0 und frühere Versionen, ohne in der Übersicht eine korrigierte Version zu nennen. Die Behebung ist mit Pull Request #24258 und Commit ba94952247 verbunden, der den SSRFProtectedHTTPAdapter einführt.

Der neue Adapter prüft die IP-Adresse des Sockets unmittelbar nach dem Verbindungsaufbau und vor dem TLS-/HTTP-Austausch. Auch Redirects werden über den geschützten Mechanismus verarbeitet. Dadurch werden Umgehungen durch Weiterleitungen und DNS-Rebinding verhindert.

FUXA: Beliebiges Überschreiben von Dateien und mögliche Codeausführung

CVE-2026-25895 betrifft FUXA bis einschließlich Version 1.2.9. Die Fehlerbehebung ist in Version 1.2.10 enthalten.

Die Schwachstelle kombiniert Path Traversal mit fehlender Authentifizierung für eine kritische Funktion. Ein nicht authentifizierter Remote-Angreifer kann beliebige Dateien an frei gewählten Pfaden im Dateisystem des Servers schreiben – auch wenn runtime.settings.secureEnabled auf true gesetzt ist.

Das Risiko umfasst das Überschreiben von Anwendungsdateien, Konfigurationen und Startskripten. Wird eine veränderte Datei später vom System geladen oder ausgeführt, kann der Schreibzugriff in Remote Code Execution übergehen. Der Schweregrad hängt von den Rechten des FUXA-Prozesses und den Verbindungen zu OT-Netzen und SCADA-Systemen ab.

Das Advisory bewertet die Schwachstelle mit CVSS 4.0 von 9.5. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des verwundbaren Systems sowie nachgelagerter Systeme sind hoch. Zusätzlich wird eine Bewertung von CVSS 3.1 mit 9.8 angegeben:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Bei den beobachteten Scans wurde versucht, main.js mit bedeutungslosen Daten zu überschreiben. Dass in der erfassten Phase noch keine RCE-Payload eingesetzt wurde, senkt die Priorität nicht. Es zeigt vielmehr, dass Angreifer die verwundbare Funktion bereits erreichen und ihr Verhalten prüfen.

Das Problem unterscheidet sich von CVE-2025-69981, die mit einer unsicheren Upload-Funktion verbunden ist. Diese Funktion war durch Authentifizierung geschützt. Die aktuelle Schwachstelle ist dagegen ein Path Traversal, der beliebige Schreibvorgänge ermöglicht.

FUXA: Autorisierungsumgehung bei industriellen Schedulern

FUXA weist außerdem CVE-2026-25939 auf, eine als CWE-862 klassifizierte Umgehung der Autorisierung. Betroffen sind Versionen vor 1.2.11. Die angegebene Korrektur ist FUXA 1.2.11.

Die Schwachstelle ermöglicht es einem nicht authentifizierten Remote-Benutzer, beliebige Scheduler zu erstellen oder zu verändern. In den Versionen 1.2.8 bis 1.2.10 kann diese Fähigkeit genutzt werden, um Folgeaktionen gegen verbundene ICS- und SCADA-Umgebungen vorzubereiten.

Die Schwachstelle wird mit CVSS 9.1 bewertet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Die wesentlichen Auswirkungen betreffen Integrität und Verfügbarkeit. Ein manipulierter Scheduler kann das vorgesehene Anlagenverhalten verändern oder nicht autorisierte Vorgänge starten. Zu den beobachteten Versuchen gegen diese Schwachstelle liegen keine weiteren technischen Indikatoren vor.

Die Aktivitäten gegen FUXA sind Teil einer umfassenderen Kampagne. Auch die Ausnutzung von CVE-2023-33831 wurde beobachtet. Die Schwachstelle wird mit CVSS 9.8 bewertet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Den verfügbaren Informationen zufolge soll diese Aktivität im November 2025 begonnen haben und bis unmittelbar vor dem Erkennungszeitraum fortgesetzt worden sein. Weitere Details zum Angriffsvektor oder zu Indikatoren sind nicht bekannt.

Was geprüft werden sollte und wie sich die Angriffsfläche reduzieren lässt

Administratoren sollten FUXA für CVE-2026-25895 mindestens auf 1.2.10 und für CVE-2026-25939 auf 1.2.11 aktualisieren. Für MLflow sollte die mit PR #24258 verbundene Korrektur eingespielt werden. Als operative Update-Schwelle gilt 3.15.0; die verfügbare technische Bestätigung bezieht sich auf Version 3.13.0.

MLflow und FUXA sollten nach Möglichkeit nicht direkt dem Internet ausgesetzt werden. Der Zugriff sollte durch Netzwerksegmentierung, starke Authentifizierung und Firewall-Regeln beschränkt werden, die verhindern, dass der Server beliebig interne Dienste erreicht.

Bei MLflow sollten die folgenden Protokolleinträge analysiert werden:

• Erstellung und Änderung von Webhooks;
• Aufrufe von /api/2.0/mlflow/webhooks;
• Nutzung des Endpunkts /test;
• Redirects von öffentlichen HTTPS-Hosts;
• Anfragen an 169.254.169.254, 127.0.0.1 und RFC1918-Adressen.

Darüber hinaus sollten mögliche Zugriffe auf IAM-Token, Cloud-Anmeldedaten, Anwendungsschlüssel und Administrationsdienste geprüft werden. Potenziell offengelegte Zugangsdaten müssen widerrufen und ersetzt werden.

Bei FUXA sollte nach Anfragen mit Traversal-Sequenzen, unerwarteten Änderungen an main.js, ungewöhnlichen Schreibvorgängen im Dateisystem und nicht autorisierten Änderungen an Schedulern gesucht werden. Verbundene Systeme müssen auf manipulierte Dateien, neue geplante Aufgaben sowie unerwartete Befehle oder Prozessänderungen untersucht werden.

Für diese Schwachstellen ist derzeit kein Eintrag im CISA-KEV-Katalog und keine CISA-Frist zur Behebung bekannt. Eine spezifische KEV-Deadline liegt daher aktuell nicht vor.