CISAが警告、重大なMLflow脆弱性がハッカーに悪用中

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、脅威アクターが重大なMLflowの脆弱性を悪用していると連邦政府機関に警告しました。

MLflowは、Linux Foundationが支援する大規模言語モデル(LLM)およびエージェント向けのオープンソースAIエンジニアリングプラットフォームで、月間ダウンロード数は3,000万件を超え、数千の組織がAIアプリケーションのデバッグ、評価、最適化、モニタリングに利用しています。

CVE-2026-64849として追跡されているこの脆弱性は、MLflowのアウトバウンドWebhook配信におけるDNSリバインディングによるサーバーサイドリクエストフォージェリ(SSRF)対策の回避を可能にする重大なもので、バージョン3.15.0で修正されています。未修正のインスタンスでは、権限を持たない攻撃者でもこれを悪用し、内部サービスやクラウドのメタデータ構成にリモートからアクセスできてしまいます。

「デフォルト設定のMLflow Tracking Server(mlflow server、認証なし、デフォルトのSQLiteバックエンド)は、モデルレジストリのWebhook APIを認証なしで公開しています。これには、アップストリームからのレスポンスのステータスと本文を呼び出し元にそのまま返す同期型のPOST /api/2.0/mlflow/webhooks/{id}/testエンドポイントも含まれます」と、MLflowのセキュリティチームは3週間前に発表したセキュリティ勧告で述べています。

「認証を受けていない攻撃者は、Tracking Serverに到達できれば、任意の内部/ループバック/クラウドメタデータのエンドポイントに対してHTTPリクエストを発行させることができ、/testを通じてそのレスポンスを読み取ることが可能です。これには、クラウドインスタンスのメタデータ(例: AWSのIMDS IAM認証情報)、ネットワーク境界の内側にある内部限定の管理サービス、内部のポート・ホストスキャンなどが含まれます」

この脆弱性の悪用に成功すると、脅威アクターは低い技術的複雑度の攻撃で、AWSのIdentity and Access Management(IAM)認証情報などのクラウド認証情報を窃取できるようになります。

攻撃での悪用が確認済みとして登録

水曜日、CISAはこの脆弱性を実際に悪用が確認された脆弱性のカタログに追加し、Binding Operational Directive 26-04で義務付けられている通り、米連邦文民行政機関(FCEB)に対し2週間以内にMLflowインスタンスを保護するよう命じました。

BOD 26-04は6月に発行された指令で、脆弱性のある資産がインターネット上に公開されている場合、その脆弱性がCISAのKEVカタログに追加された場合、悪用が大規模攻撃に向けて自動化され得る場合、そして悪用に成功すると攻撃者が対象システムの部分的または完全な制御権を得てしまう場合には、米政府機関に対しパッチ適用を優先するよう求めています。

BOD 26-04の適用対象は米政府機関に限られますが、CISAはすべてのネットワーク防御者に対し、CVE-2026-64849を狙った攻撃への対策としてパッチ適用を優先するよう呼びかけています。

「この種の脆弱性は悪意あるサイバーアクターにとって頻繁に利用される攻撃経路であり、連邦政府の事業運営に重大なリスクをもたらします」と同庁は警告しています。「各関係者には、自らの資産のインターネット上への露出状況を評価し、BOD 26-04のパッチ適用ガイドラインを確実に順守する責任があります」

火曜日には、Windows Internet Key Exchange(IKE)Service Extensionsコンポーネントに存在する重大なリモートコード実行(RCE)の欠陥についても、ハッカーによる悪用が始まっているとCISAが警告しています。