機械学習基盤「MLflow」に深刻なSSRFの脆弱性、認証なしでクラウドメタデータ窃取の恐れ――米CISAが悪用カタログに追加

要点

• 機械学習やAIエージェント開発向けプラットフォーム「MLflow」のバージョン3.15.0未満に、重大なSSRF（サーバーサイド・リクエスト・フォージェリ）脆弱性「CVE-2026-64849」が存在することが判明した。

• 認証不要のWebhookテスト用エンドポイントにおいて、リダイレクト時のアドレス検証不備を突くことで、内部ネットワークやクラウドのメタデータサービスへ不正アクセスされる危険性がある。

• GitHubによるCVSS v3.1基本スコアは9.3（Critical）と高く評価されている。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月19日付で「悪用が確認された脆弱性（KEV）」カタログに追加し、注意喚起と対応を求めている。

• 開発元は本脆弱性を修正したバージョン3.15.0を公開済みである。

• オープンソースの機械学習およびAI開発プラットフォーム「MLflow」において、リモートから認証なしで内部リソースへのアクセスを許してしまう深刻な脆弱性「CVE-2026-64849」が報告された。米国の国家脆弱性データベース（NVD）の公開情報によると、すでに実際の攻撃で悪用されているとして、米サイバーセキュリティ・インフラセキュリティ庁（CISA）によって2026年8月19日付で警告カタログへ登録されたという。開発元からは本件を修正したバージョン3.15.0がリリースされている。

対象ソフトウェアと脆弱性の概要

影響を受けるのは、LF Projectsが管理するMLflowのバージョン3.15.0未満の環境だ。MLflowは、AIエージェントや大規模言語モデル（LLM）、機械学習モデルの実験・運用を統合管理するオープンソースソフトウェアとして開発されている。

今回確認された脆弱性は、CWE-918として分類される「サーバーサイド・リクエスト・フォージェリ（SSRF：サーバー自身に意図しないリクエストを発行させ、通常は外部から到達できない内部リソースを閲覧・操作させる脆弱性）」にあたる。認証を必要としないAPIエンドポイントに対して細工したリクエストを送信することで、攻撃者が内部ネットワークやクラウド環境のメタデータサービスにアクセスできてしまう状態になっていた。

リダイレクト処理とアドレス再解決に起因する脆弱性の詳細

NVDが公開した詳細情報によると、問題が発生していたのはWebhookの疎通テストを行うエンドポイント「POST /api/2.0/mlflow/webhooks/{id}/test」である。このエンドポイントは認証なしでリクエストを送信できるようになっていた。

通信の処理過程において、URL検証を担当する「mlflow/utils/validation.py」内の関数「_validate_webhook_url()」は、リクエストで指定された最初のURLに対してのみ検証を実施していた。しかし、実際に通信を行う「mlflow/webhooks/delivery.py」はHTTPリダイレクトを自動で追跡し、検証済みのアドレスを固定（ピン留め）することなくホスト名を再解決していたという。

この挙動の違いを突くことで、攻撃者は初期検証をすり抜けるURLから内部向けのアドレスへとリダイレクトさせ、検証機構を回避することが可能となっていた。この脆弱性が悪用された場合、内部システムやクラウドのメタデータサービスに対してリクエストが到達し、その応答内容であるステータスコード（response_status）およびレスポンス本文（response_body）が攻撃者に返却されてしまうと説明されている。

深刻度評価とCVSSスコア

脆弱性の深刻度について、CVE番号の採番組織であるGitHub（CNA）は、共通脆弱性評価システム「CVSS v3.1」の基本スコアを「9.3」、深刻度区分で最高レベルの「Critical（緊急）」と算定している。

GitHubが算定した評価ベクトル（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N）によると、ネットワーク経由で攻撃が可能（AV:N）であり、攻撃の複雑さは低く（AC:L）、特別な権限（PR:N）やユーザーの操作（UI:N）を一切必要としない。さらに、影響範囲が他コンポーネントへ波及し（S:C）、機密性への影響が極めて高い（C:H）と評価されている。なお、NVD自身によるCVSS v4.0やCVSS v3.xのスコア評価は現時点で未提供（N/A）となっている。

米CISAがKEVカタログに追加、悪用ステータスを「Active」に更新

米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、2026年8月19日（現地時間）に本脆弱性を「悪用が確認された脆弱性（KEV：Known Exploited Vulnerabilities）」カタログへと追加した。

CISAの決定支援モデル（SSVC）による評価更新では、悪用状況（exploitation）が「active（活発）」に変更され、攻撃の自動化可能性（automatable）が「yes」、技術的影響（technicalImpact）が「total（全面）」と判定されている。

CISAは連邦政府機関や関係組織に向け、運用指令「BOD 22-01」および「BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）」に基づき、2026年9月2日までにベンダーの指示に従った緩和策を適用するよう定めている。また、緩和策が利用できない場合は製品の使用を停止するよう求めており、関係者に対して資産のインターネット露出状況を評価し、パッチガイドラインを遵守するよう求めている。

修正パッチと関連情報

MLflowの開発チームは、本脆弱性を解消した「バージョン3.15.0」をすでに公開している。GitHubリポジトリ上では、修正コミット（ba949522477cbd5915aa55d29b0cfad7d5ddf939）およびプルリクエスト（#24258）を通じてパッチが適用されたほか、セキュリティアドバイザリ（GHSA-7gwp-5pfp-969j）やイシュートラッキング（#24179）において緩和策や関連情報が公開されている。