脅威アクターが、MLflowに存在する最近の脆弱性を悪用し、認証情報やシークレットなどの機密情報を窃取していることが分かりました。
オープンソースのAIエンジニアリングプラットフォームであるMLflowは、機械学習のライフサイクル全体を管理し、AIエージェントやLLM、MLモデルを本番環境にデプロイできるツールです。GitHubスター数は27,000を超え、月間ダウンロード数は6,000万件以上に上ります。
CVE-2026-64849として追跡されているこの脆弱性(CVSSスコア9.3)は、攻撃者が内部エンドポイントにHTTPリクエストを送信できる、未認証のサーバーサイドリクエストフォージェリ(SSRF)の問題です。
MLflowのアドバイザリによると、この問題はデフォルトのMLflow Tracking Server(mlflow server)がモデルレジストリのwebhooks APIを認証なしで公開していることに起因します。
公開されているエンドポイントの一つが、呼び出し元に上流のレスポンスステータスとボディをそのまま返してしまう仕組みになっており、バージョン3.10.0で追加されたSSRF対策も回避可能でした。
攻撃対象領域管理企業のWatchTowrは、「攻撃者はこの脆弱性を悪用してクラウドのメタデータサービスに直接アクセスし、クラウドの認証情報やシークレットを窃取しています」と警告しています。
同社によると、実際の悪用はCVE番号の割り当てから数時間以内に始まっており、クラウドでホストされているインスタンスが標的となっています。
WatchTowrは、「3.15.0より前のすべてのMLflowバージョンが影響を受けます。自組織でMLflowを運用している場合は、外部に露出しているシステムへのパッチ適用を最優先で行い、侵害の兆候がないか監査ログを確認し、機密性の高い認証情報が漏えいしていないかを点検してください」と述べています。
水曜日、米国のサイバーセキュリティ機関CISAはCVE-2026-64849を既知の悪用された脆弱性(KEV)カタログに追加し、BOD 26-04の勧告に沿って、連邦機関に対し2週間以内のパッチ適用を求めています。
翻訳元: https://www.securityweek.com/mlflow-vulnerability-exploited-for-cloud-credential-theft/
