MLflowの評価機能にSSRF―追加パッケージと認証なしの公開状態を確認
外部から評価処理の接続先を指定され、サーバーから任意の宛先へ通信する不備です。3.17.0への更新と、評価APIの公開範囲を確認します。
脆弱性の公表日：2026-10-22 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
MLflowは、機械学習や生成AIの実験・評価を管理する基盤です。開発元は2026年10月22日、第三者製の評価機能を通じてサーバーから意図しない宛先へ通信させるSSRFの脆弱性、CVE-2026-115886を公表しました。修正版は3.17.0です。
認証なしのサーバーと追加ライブラリが条件
対象バージョンは3.12.0rc0以上3.17.0未満です。報告の実証条件には、認証を設定していない追跡サーバーと、trulens・trulens-providers-litellmの導入が含まれます。この二つは標準同梱ではない追加パッケージです。
MLflowの版だけで対象を決めず、稼働する仮想環境のパッケージと、評価APIへ誰がアクセスできるかを確認します。社内向けの用途でも、リバースプロキシを含む実際の認証・到達範囲を調べる必要があります。
評価クラスの生成時に渡す設定を制限しきれない
問題は、外部から受け取る評価クラスや初期化引数の扱いです。許可されたモジュールかどうかの検査だけでは、生成するクラスや接続先などの引数を十分に制限できませんでした。サーバーのネットワーク上の位置から任意の宛先へリクエストを送られるおそれがあります。
公式の実証で送信された認証ヘッダーは攻撃者自身が指定した値です。サーバーに保存された秘密鍵の流出を実証したものとは異なります。内部サービスへの到達可能性も、その環境の通信制御によって変わります。
3.17.0へ更新し、APIと外向き通信を点検
当社では、3.17.0以降へ更新したうえで評価処理を再実行し、稼働プロセスが修正版になっていることを確認する対応を提案します。追加の評価パッケージを使っている場合は、その互換性もテストします。
併せて、認証が必要なAPIに匿名で到達できないことと、サーバーから許可していない宛先へ通信できないことを検証環境で確認します。既存のアクセス・通信ログを調べる際は、不審な評価要求と実際の送信先を突き合わせ、更新完了と過去の影響調査を分けて記録します。
出典と編集について
MLflow：MLflowの評価機能にSSRF：公式アドバイザリ ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。