MLflow にSSRFの脆弱性（CVE-2026-64849）― クラウドの「メタデータサービス」に届いてしまう経路

1SSRF＝サーバに代わりに取りに行かせる

サーバ側リクエスト偽造(SSRF)は、外部から与えたURLをサーバがそのまま取りに行ってしまう欠陥です。攻撃者自身は外部にいて内部ネットワークへ届きませんが、サーバは内部にいます。そのサーバに「この場所を見てきて」と頼めるなら、攻撃者は自分では届かない場所の情報を、サーバ経由で受け取れることになります。

境界で守っているという前提が、内側からの要求では効かなくなるのがこの欠陥の本質です。

2「クラウドのメタデータサービス」という行き先

カタログの記載でとくに重いのは、行き先として cloud metadata services が名指しされている点です。主要なクラウドでは、仮想マシンやコンテナが自分自身の設定情報や、そのインスタンスに割り当てられた一時的な認証情報を、内部だけから届く固定のアドレスで取得できる仕組みを持ちます。ここに到達できると、攻撃者はそのインスタンスの権限を借りられる可能性があります。

しかも本件では応答の本文まで受け取れるとされており、単に到達できるだけの状態とは意味が違います。

3MLflow という置き場所

MLflow は、機械学習の実験の記録、モデルの版管理、成果物の保管に使われるツールです。多くの場合、学習用の計算資源に近い場所——つまりデータと計算権限が集まる環境——に置かれます。加えて、研究や開発の道具として社内向けに立てられることが多く、外部公開を前提とした堅牢化が後回しになりやすい性格も持ちます。攻撃者から見れば、権限の集まる場所にある内向きのサービスということになります。

4到達できるだけか、読み出せるか

サーバ側リクエスト偽造には、内部にサービスがあることが分かる程度で止まるものと、応答の中身まで受け取れるものがあります。この記録は後者です。

カタログの記載でとくに重いのは、行き先として cloud metadata services が名指しされている点です。主要なクラウドでは、仮想マシンやコンテナが自分自身の設定情報や、そのインスタンスに割り当てられた一時的な認証情報を、内部だけから届く固定のアドレスで取得できる仕組みを持ちます。

MLflow は学習用の計算資源に近い場所、つまりデータと計算権限が集まる環境に置かれることが多い製品です。