MLflowの深刻なSSRF脆弱性、公開後即座に悪用

MLflowに存在する認証不要の深刻なサーバーサイドリクエストフォージェリ(SSRF)脆弱性CVE-2026-64849が、開示からわずか数時間で実際に悪用されていることが、watchTowrの調査で明らかになりました。

この脆弱性はMLflowバージョン3.15.0より前のバージョンに影響し、クラウド認証情報の流出や、内部サービスをはじめとする機密データが遠隔攻撃者にさらされる恐れがあります。

MLflowのSSRF脆弱性

この脆弱性は、MLflowのモデルレジストリにあるWebhookテスト機能に存在します。デフォルト設定のMLflow Tracking Serverでは、POSTエンドポイント`/api/2.0/mlflow/webhooks/{id}/test`が認証なしで公開されており、誰でもWebhook配信をトリガーして、送信先サーバーからのレスポンスステータスとボディを取得できてしまいます。

Hacking& Cracking

MLflowはバージョン3.10.0で、Webhookがプライベートアドレスや予約済みIPアドレスに到達しないようにする送信先検証機能を追加していました。しかし、この検証は最初に指定されたホスト名にしか適用されません。

その後のWebhook配信処理では、HTTPリダイレクトを追跡する際に送信先の再検証や、最初に検証したIPアドレスへの固定(ピンニング)が行われていません。

そのため攻撃者は、最初の検証チェックを通過する公開HTTPSエンドポイントを用意し、そこからHTTP 302リダイレクトでクラウドメタデータサービスが一般的に利用するリンクローカルアドレス`http://169.254.169.254/`や、`127.0.0.1`のような内部ループバックサービスへ誘導できます。MLflowはこのリダイレクトを追跡し、送信先からのレスポンス内容を攻撃者に返してしまいます。

この問題は、外部に公開されたMLflowインスタンスに対する完全読み取り型のSSRF脆弱性となります。クラウド環境での展開では、攻撃者がインスタンスメタデータ、一時アクセストークン、IAM認証情報、設定値、または該当サーバーのネットワークからアクセス可能なシークレットの取得を試みる可能性があります。

MLflowがインターネットに公開され、認証なしで稼働しており、クラウドネイティブなメタデータエンドポイントや内部管理インターフェースにアクセスできる状態にある場合、リスクは特に深刻です。

SSRFは、外部から到達可能な機械学習運用プラットフォームを、組織内部の偵察や認証情報窃取のための踏み台に変えてしまう恐れがあります。

watchTowrによると、同社のグローバルハニーポットネットワーク「Attacker Eye」は、CVE番号が割り当てられた直後からクラウドでホストされているMLflowサーバーに対する悪用の試みを観測しています。

報告された攻撃活動は認証情報やシークレットの窃取に重点が置かれており、日和見的なスキャンや悪用が今後増加する可能性が高いことを示しています。

MLflowバージョン3.15.0でCVE-2026-64849は修正されています。セキュリティチームは、開発環境や実験環境、シャドーMLOps環境を含め、稼働中のすべてのMLflow導入環境を直ちに特定し、影響を受けるサーバーをアップグレードする必要があります。脆弱性のアドバイザリでは、3.15.0より前のバージョンがリスクにさらされていることが確認されています。

防御側は、以下の対策も検討すべきです。

• MLflow Tracking Serverインスタンスへの一般公開アクセスを制限する
• 認証を必須化し、MLflowをリバースプロキシまたはID認識型アクセスゲートウェイの背後に配置する
• Webhook設定を確認し、見覚えのないURLや攻撃者が制御する可能性のあるURLがないか点検する
• アプリケーションログやプロキシログを確認し、Webhookテストエンドポイントへのリクエスト、リダイレクトチェーン、メタデータIPアドレス、ループバック範囲、不審な送信HTTP通信がないか調べる
• 侵害された可能性のあるMLflowホストからアクセス可能なクラウド認証情報やシークレットをローテーションする

組織は、3.15.0より前のバージョンで稼働している公開状態のMLflowサーバーはすべて、既に探索を受けた可能性があるものとして扱い、メタデータサービスへのアクセスや不正なシークレット取得の痕跡がないか調査を行うべきです。

フィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合