米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、AIアプリケーションのエンジニアリングに使用されるオープンソースプラットフォーム、MLflowに存在する重大な脆弱性が実際に悪用されているとして警告し、実際の攻撃で悪用されている脆弱性の一覧に追加しました。同庁は、米国連邦政府の文民行政機関に対し、影響を受けるMLflowインスタンスを2週間以内に保護するよう命じる一方、すべてのネットワーク防御担当者に対して修正を優先するよう呼びかけました。
この脆弱性にはCVE-2026-64849の識別子が付与されており、MLflowから送信されるウェブフック通知の配信メカニズムに存在します。悪用には、DNSリバインディングを利用したサーバーサイドリクエストフォージェリ（SSRF）型の回避が用いられ、認証されていない攻撃者がMLflowサーバーに、インターネットから直接アクセスできない内部の宛先へHTTPリクエストを送信させることが可能になります。
攻撃者は何にアクセスできるのか？
MLflowのセキュリティチームによると、認証なしで実行され、デフォルトのSQLiteデータベースを使用するトラッキングサーバーのデフォルト設定では、モデルレジストリのウェブフックAPIが保護されない状態で公開されます。これにはPOST /api/2.0/mlflow/webhooks/{id}/testエンドポイントが含まれ、このエンドポイントは、サーバーが接続したサービスからのレスポンスのステータスと内容を呼び出し元に返します。
この方法により、トラッキングサーバーにアクセスできる攻撃者は、内部またはローカルのアドレスにリクエストを送信し、その結果を前述のエンドポイント経由で読み取ることができます。潜在的な標的には、ネットワーク境界の背後に隠された管理サービス、内部ポートやホスト、さらにクラウドサービスプロバイダーのメタデータエンドポイントが含まれます。AWS IMDSのようなサービスの場合、これによりクラウドのIAM認証情報が漏えいする可能性があります。
修正と政府機関に対する要件
MLflowはバージョン3.15.0でこの問題を修正しました。セキュリティ機関は、この悪用について複雑度が低く、事前の権限を必要とせずにAWS IAM認証情報などのクラウド認証情報を窃取できる可能性があると説明しています。
CISAは水曜日、この脆弱性をKnown Exploited Vulnerabilitiesカタログに追加し、米国連邦政府の文民行政機関に対して、拘束力のある運用指令BOD 26-04に基づく2週間の期限を守るよう求めました。この指令は、脆弱な資産がインターネットに公開されている場合、脆弱性がCISAのカタログに掲載されている場合、悪用を大規模に自動化できる場合、または悪用によって攻撃者が標的システムを部分的または完全に制御できる場合に、修正の優先順位を定めています。
この警告が重要な理由
MLflowは数千の組織で使用されており、同プラットフォームの月間ダウンロード数は3,000万件を超えています。また、AIアプリケーションのデバッグ、評価、最適化、監視をサポートしています。そのため、脆弱性の影響は単一のサーバーにとどまりません。アクセス可能で保護されていないトラッキングサーバーが存在すると、AIアプリケーションの管理を目的とするコンポーネントが、内部サービスやクラウド認証情報への通路に変わる可能性があります。
BOD 26-04は米国政府機関のみに適用されますが、CISAはすべてのネットワーク防御担当者に対し、MLflowインスタンスがインターネットに露出していないか確認し、バージョン3.15.0または利用可能なそれ以降のバージョンへ更新するよう促しました。この警告は、各資産を評価し、修正に関する指針を適用する責任は、引き続き運用主体にあることを強調しています。