概要

機械学習の実験管理・モデルレジストリ基盤として広く使われているMLflowに、未認証で悪用可能なサーバーサイドリクエストフォージェリ(SSRF)の脆弱性が発見され、実際の攻撃に悪用されていることが明らかになった。脆弱性はCVE-2026-64849として登録され、CVSSスコアは9.3ときわめて深刻な水準にある。セキュリティ企業watchTowrの分析によれば、CVE番号が発行されてからわずか数時間のうちに、攻撃者は脆弱なMLflowインスタンスに対する無差別スキャンを開始しており、対応の遅れが直接被害につながる典型的な事例となった。CISAは2026年8月19日付でこの脆弱性を「既知の悪用済み脆弱性(KEV)」カタログに追加し、連邦機関に対して2026年9月2日までのパッチ適用を義務付けている。

技術的な詳細

今回の脆弱性は、MLflowのモデルレジストリが備えるウェブフック機能の欠陥に起因する。認証を経ずにこの機能を悪用することで、攻撃者はMLflowサーバーを踏み台としてリクエストを任意の宛先にプロキシさせ、本来外部からは到達できないはずの内部サービスと通信できてしまう。バージョン3.15.0未満のMLflowが影響を受ける。

特に問題視されているのは、この脆弱性がウェブリダイレクトの処理に関する過去の修正をバイパスする形で成立している点だ。watchTowrのYordan Ganchev氏は、以前のパッチがリダイレクト先の検証に不備を残していたことを指摘しており、修正が想定していなかった経路から同種の攻撃が再び成立してしまったことになる。クラウド上でホストされたMLflowインスタンスが到達可能な場合、攻撃者はこのSSRFを通じてAWS・Azure・GCPなどが提供するクラウドメタデータサービスのエンドポイントに直接リクエストを送り込み、そこに保持されているクラウド認証情報やシークレットを窃取できる。

攻撃の経緯と被害範囲

watchTowrの観測によれば、CVE-2026-64849が公開された直後から、攻撃者は既知の内部IPアドレスやメタデータサービスのエンドポイントを対象に、脆弱なMLflowインスタンスへの無差別スキャンを開始していた。これほど短時間で実悪用が始まった背景には、脆弱性の悪用方法自体が単純であることに加え、MLflowが機械学習パイプラインの中核としてクラウド環境に広くデプロイされており、探索対象として発見されやすいという事情がある。窃取されたクラウド認証情報は、さらなる横展開やデータ窃取、リソースの不正利用など二次被害につながる可能性が高く、深刻度の高さが際立つ。

今後の対応

CISAによるKEVカタログへの追加は、連邦政府機関に強制力のあるパッチ適用期限(2026年9月2日)を課すものだが、民間企業を含むすべてのMLflowユーザーにとっても対応の緊急性は変わらない。専門家は、影響を受けるバージョンを使用している組織に対し、修正版への早急なアップグレードに加え、MLflowサーバーへのアクセスログを監査して不審なリクエストの有無を確認すること、クラウドメタデータサービスへのアクセス制御(IMDSv2の強制など)を見直すこと、既に流出した可能性のある認証情報のローテーションを実施することを推奨している。今回の一件は、過去に修正済みとされた脆弱性がリダイレクト処理のような周辺ロジックの不備によって再度悪用可能になるケースがあることを示しており、パッチ適用後も継続的な検証が必要であることを改めて浮き彫りにした。