MLflow en resumen
El 27 de octubre de 2026, MLflow publicó un aviso crítico (CVSS 9.8): en servidores de seguimiento sin autenticación (lo predeterminado), cualquiera que llegue al servidor puede ejecutar código Python vía el endpoint de evaluadores. Otra falla alta permite leer archivos. Ambas se corrigen en MLflow 3.17.0.
MLflow: estado
- Afectado
- Servidores de seguimiento MLflow 3.12.0 a 3.16.x: ejecución de código sin autenticación mediante la deserialización de evaluadores de terceros (CVE-2026-116692) y SSRF mediante la configuración de evaluadores (CVE-2026-115886)
- MLflow 3.10.0 a 3.16.1: lectura arbitraria de archivos mediante el origen de versiones de prompts (CVE-2026-116690)
- MLflow 2.19.0 a 3.16.x con mlflow.crewai.autolog(): API keys de proveedores de CrewAI escritas en las trazas (CVE-2026-116691)
- Identificadores CVE
- Estado al
- Detectada por
- El usuario de GitHub mskca (RCE en scorers y lectura de archivos), según los avisos de MLflow
Qué cambió con MLflow
El 27 de octubre de 2026, el proyecto MLflow publicó avisos en GitHub para su servidor de seguimiento de código abierto, que muchos equipos usan para registrar experimentos, prompts, trazas y evaluaciones de apps con LLM. El más grave, CVE-2026-116692, tiene severidad crítica con una puntuación CVSS de 9.8. Afecta a MLflow 3.12.0 hasta 3.16.x y se corrige en 3.17.0, publicada el 7 de octubre.
La falla está en la función de evaluadores (scorers) de terceros agregada en 3.12.0. El servidor importa un módulo de Python indicado en la solicitud siempre que empiece con un prefijo de paquete permitido. El investigador mostró que un cliente puede apuntar la ubicación de artefactos de un nuevo experimento dentro de uno de esos paquetes, subir un archivo Python como artefacto de una ejecución y luego hacer que el endpoint de evaluadores lo importe. En el servidor predeterminado sin autenticación, con la imagen oficial, eso permite ejecutar código sin credenciales; el aviso señala que esa imagen corre como root. Con autenticación activa, el atacante necesita una cuenta que pueda crear experimentos y subir artefactos.
El mismo día MLflow reveló CVE-2026-116690 (CVSS 7.5, versiones 3.10.0 a 3.16.1): una versión de prompt cuyo origen es una ruta local sin esquema permite leer cualquier archivo al que tenga acceso el servidor. En servidores con basic-auth, un usuario con pocos privilegios podía leer la base de datos de autenticación, incluido el hash de la contraseña del administrador. También se corrigen en 3.17.0 dos fallas de severidad media: falsificación de solicitudes del lado del servidor mediante la configuración de evaluadores (CVE-2026-115886) y que mlflow.crewai.autolog() escribía las API keys de los proveedores de CrewAI en las trazas (CVE-2026-116691).
Cómo corregirlo: MLflow
1. Actualizar
Actualiza MLflow a 3.17.0 o posterior en cada servidor de seguimiento y cliente, y luego reinicia el servidor o vuelve a desplegar su contenedor.
github.com (se abre en una pestaña nueva)2. Configuración
No expongas un servidor de seguimiento MLflow a redes no confiables sin autenticación; ejecútalo con un usuario que no sea root y mantén en solo lectura sus paquetes de Python instalados, lo que según el aviso bloquea esta cadena de ataque.
github.com (se abre en una pestaña nueva)3. Vigilar
Si usaste mlflow.crewai.autolog(), busca API keys de proveedores en las trazas guardadas y en cualquier backend OTLP, elimínalas y rota las claves.
github.com (se abre en una pestaña nueva)4. Vigilar
En servidores con basic-auth que usaron 3.10.0 a 3.16.1, considera expuesta la base de datos de autenticación: cambia la contraseña del administrador y revisa los modelos registrados en busca de versiones de prompt con rutas locales inusuales como origen.
github.com (se abre en una pestaña nueva)
Instrucción para tu agente de IA
Busca mlflow en archivos de requisitos, lockfiles, Dockerfiles y manifiestos de compose o Kubernetes. Si algún pin o imagen usa una versión anterior a 3.17.0, propone actualizar a 3.17.0 o posterior. Señala cualquier comando mlflow server que escuche en una interfaz pública sin una capa de autenticación y cualquier código que llame a mlflow.crewai.autolog(); indica al usuario que revise las trazas en busca de API keys filtradas. Pregunta antes de cambiar la configuración de despliegue o rotar claves.
Basada en la guía oficial enlazada abajo. Revísala antes de dársela a un agente que pueda modificar tus sistemas.
Avisos de seguridad
- GHSA-26p8-2jq9-3vq9 (CVE-2026-116692) (se abre en una pestaña nueva)github.com
- GHSA-m65p-9j7q-6w33 (CVE-2026-116690) (se abre en una pestaña nueva)github.com
- GHSA-2wqp-q3c6-ccj5 (CVE-2026-115886) (se abre en una pestaña nueva)github.com
- GHSA-j7qq-vr8c-xvw3 (CVE-2026-116691) (se abre en una pestaña nueva)github.com
Dónde comparar MLflow
Clasificaciones independientes y recursos oficiales para comparar este modelo por tu cuenta. Las posiciones cambian con frecuencia; cada sitio muestra sus datos actuales.
Por qué MLflow importa para los negocios
Si registras experimentos de LLM o trazas de agentes en un servidor MLflow propio, actualiza a 3.17.0, no expongas el servidor de seguimiento a internet sin una capa de autenticación delante y ejecútalo con un usuario que no sea root y con el directorio de paquetes en solo lectura. Si usaste el autologging de CrewAI, revisa tu almacén de trazas y cualquier backend OTLP en busca de API keys y rota las que encuentres.
Fuentes de esta noticia
- MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization (se abre en una pestaña nueva)Oficial
MLflow on GitHub · github.com
- MLflow vulnerable to arbitrary file read on unauthenticated servers via prompt model version source (se abre en una pestaña nueva)Oficial
MLflow on GitHub · github.com
- MLflow CrewAI autologging records LLM provider API keys in logged trace spans (se abre en una pestaña nueva)Oficial
MLflow on GitHub · github.com
- MLflow v3.17.0 release (se abre en una pestaña nueva)Oficial
MLflow on GitHub · github.com
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #mlflow
- #llmops
- #remote-code-execution
- #self-hosting