MLflow の未認証SSRFでクラウドのメタデータ資格情報が抜かれている

Critical（CVSS 9.3）に分類されるMLflow MLflow Tracking Serverの脆弱性です。機械学習の実験管理基盤 MLflow の Tracking Server に、認証不要で叩ける SSRF がある。NVD の記述は「3.15.0 より前では、未認証の POST /api/2.0/mlflow/webhooks/{id}/test が mlflow/utils/validation.py の _validate_webhook_url() を元の URL に対してだけ呼ぶ一方、mlflow/webhooks/delivery.py はリダイレクトを追ってホスト名を再解決し、検証済みアドレスを固定しないため、攻撃者が内部サービスやクラウドのメタデータサービスへ到達して response_status と response_body を受け取れる」というものである。つまり検証と実際の接続のあいだで宛先がすり替わる TOCTOU 型で、URL 検証そのものは存在するのに、リダイレクト追跡と DNS の再解決がその検証を素通りさせる。ベンダーの GitHub Security Advisory GHSA-7gwp-5pfp-969j は「配送側がリダイレクトを追い（allow_redirects=False を指定していない）、検証済み IP を固定していない」と明記し、302 による読み取り（レスポンスが /test の応答としてそのまま返る）と、307/308 で POST メソッドを保ったまま内部の管理エンドポイントへ書き込むブラインド書き込みの2つを攻撃経路として挙げている。CVSS は NVD 評価で 9.3 Critical、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N でスコープ変更あり。CWE は CWE-918。NVD の公開は 2026年8月17日、最終更新は 2026年8月20日である。CISA は 2026年8月19日に KEV カタログへ収載し、是正期限を 2026年9月2日としている。KEV の knownRansomwareCampaignUse は Unknown で、ランサムウェアでの利用は現時点で確認されていない。既定構成の MLflow Tracking Server は webhook のエンドポイントに認証を要求しないため、サーバに到達できること自体が攻撃の前提のすべてになる。読み取り先として想定されるのはクラウドのインスタンスメタデータ（AWS の 169.254.169.254 など）で、そこから一時的な IAM 認証情報が読める構成では認証情報がそのまま流出する。

対応は 3.15.0 以降への更新である。NVD の影響範囲は 3.15.0 未満、リリースノート v3.15.0 と修正コミット ba949522、プルリクエスト #24258 が対応する変更で、検証したアドレスを接続時に固定するようになっている。ベンダーのアドバイザリは回避策（ワークアラウンド）を提示していないので、更新できない期間は経路側で塞ぐしかない。具体的には3つある。第一に、Tracking Server をインターネットから直接触れる場所に置かない。到達性そのものが前提条件なので、VPC 内部や社内網に閉じてリバースプロキシや ID 認識型プロキシで認証を前置するだけで攻撃面はほぼ消える。第二に、サーバから外向きの通信を絞る。webhook の配送はサーバが外へ HTTP を出す機能なので、送信先を許可リストで限定するか、少なくともリンクローカル（169.254.0.0/16）とループバック、社内の管理系セグメントへの到達をネットワーク側で落とす。第三に、クラウドのメタデータ側を固める。AWS なら IMDSv2 を必須化（HttpTokens を required に）してトークン無しの GET を弾き、ホップ数上限を 1 にする。これは MLflow に限らず SSRF 全般に効く恒常的な設定であり、この CVE のような読み取りは IMDSv2 必須化だけでも成立しなくなる。GCP と Azure のメタデータサーバはもともと専用ヘッダ（Metadata-Flavor: Google / Metadata: true）を要求するため単純な GET 転送では読めないが、リダイレクト経由でヘッダごと転送される構成になっていないかは確認しておきたい。加えて、更新前から公開されていたサーバは既に認証情報が抜かれている前提で扱うのが安全である。KEV へ収載されている以上、更新に加えて、当該サーバに紐づくロールの一時認証情報の失効と、そのロールで行われた API 呼び出しの監査ログ（CloudTrail 等）の確認まで行うこと。

MLflow MLflow Tracking Server を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-64849）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/02 です。推奨される対応: ベンダーの手順に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づく優先的なセキュリティ更新）および Forensics Triage Requirements に従う。クラウドサービスは BOD 26-04 の該当ガイダンスに従い、緩和策が無い場合は当該製品の利用を停止する。各資産のインターネット露出は利用者側で評価する。