MLflow

サイバーセキュリティ・インフラセキュリティ庁（CISA）は、脅威アクターが現在、MLflowの重大な脆弱性を悪用しているとして、連邦政府機関に警告を発した。

MLflowは、Linux Foundationが支援する大規模言語モデル（LLM）およびエージェント向けのオープンソースAIエンジニアリングプラットフォームであり、月間ダウンロード数は3,000万回を超え、数千の組織がAIアプリケーションのデバッグ、評価、最適化、監視に利用している。

CVE-2026-64849として追跡されている、 MLflowのアウトバウンドWebhook配信におけるこの重大なDNSリバインディング型サーバーサイドリクエストフォージェリ（SSRF）バイパスは、バージョン3.15.0で修正済みですが、パッチが適用されていないインスタンスでは、権限を持たない攻撃者でも内部サービスやクラウドのメタデータ設定にリモートアクセスするために悪用される可能性があります。

image

「デフォルトのMLflowトラッキングサーバー（mlflowサーバー、認証なし、デフォルトのSQLiteバックエンド）は、モデルレジストリのWebhook APIを認証なしで公開しており、これには、アップストリームのレスポンスステータスと呼び出し元にボディを返す同期POST /api/2.0/mlflow/webhooks/{id}/test エンドポイントには、アップストリームのレスポンスステータスと本文を呼び出し元に返すものがあります」と、MLflowのセキュリティチームは3週間前に発行したセキュリティアドバイザリで述べています。

「トラッキングサーバーにアクセス可能な認証不要の攻撃者は、サーバーに任意の内部／ループバック／クラウドメタデータエンドポイントへのHTTPリクエストを発行させ、/test経由でレスポンスを読み取ることができます。これには、クラウドインスタンスメタデータ（例：AWS IMDSのIAM認証情報）、ネットワーク境界の背後にある内部限定の管理サービス、および内部ポート／ホストのスキャンが含まれます。”

この脆弱性を悪用されると、脅威アクターは、複雑性の低い攻撃で、AWS Identity and Access Management（IAM）の認証情報などのクラウド認証情報を盗み出すことが可能になる。

「攻撃で悪用済み」としてタグ付け

水曜日、CISAはこの 脆弱性を実環境で悪用されている脆弱性のカタログに 追加し、拘束力のある運用指令（BOD）26-04の規定に基づき、米国連邦文民行政機関（FCEB）に対し、2週間以内にMLflowインスタンスのセキュリティ対策を講じるよう命じました。

BOD26-04は6月に発出され、 この指令では、脆弱な資産がオンライン上で公開されている場合、セキュリティ上の欠陥がCISAのKEVカタログに追加された場合、大規模な攻撃のために悪用が自動化可能な場合、および悪用が成功した際に攻撃者が標的となったシステムの一部または全部を制御できる場合、米国政府機関はパッチ適用を優先するよう求めている。

CISAはこれらの進行中の攻撃に関する詳細情報をまだ公開していないが、サイバーセキュリティ企業のwatchTowrは水曜日、CVE IDが割り当てられてから数時間以内に、攻撃者がMLflowシステムのスキャンを開始したと明らかにした。

「攻撃者はこの脆弱性を悪用してクラウドのメタデータサービスに直接アクセスし、クラウドの認証情報や機密情報を盗み出しています」とwatchTowrは述べています。 
「組織でMLflowを運用している場合は、露出しているシステムのパッチ適用を優先し、侵害の兆候がないか監査ログを確認するとともに、機密の認証情報が漏洩していないか確認してください。」

火曜日、CISAは、ハッカーが現在、WindowsのInternet Key Exchange（IKE）サービス拡張コンポーネントにある「重大」レベルの遠隔コード実行（RCE）の脆弱性も悪用していると警告した。