何が起きたか
CVE-2026-115886（CWE-470 安全でないリフレクション / CWE-918 SSRF）は、MLflowのスコアラーおよびGenAI評価エンドポイントにおけるデシリアライゼーションからSSRFへの欠陥であり、2026年10月23日に公開されました。脆弱なデシリアライゼーションは、トラッキングストアのルックアップまたはジョブ送信の前に発生し、攻撃者はLiteLLMフォールバックを駆動して、攻撃者が制御するヘッダーとボディを持つ内部ホストへのアウトバウンドリクエストを発行させることができます。
なぜ重要か
MLflowは、MLOpsおよびGenAIパイプラインのトラッキング/モデルレジストリレイヤーとして広く展開されています。影響を受けるエンドポイントは認証なしのシリアライズされた入力を受け入れ、内部サービス（クラウドメタデータエンドポイントや内部モデル/エージェントバックエンドを含む）へのSSRFに誘導できるため、外部攻撃者にAIデプロイメントの内部ネットワークへの足がかりを与えます。これは、MLプラットフォームから周囲のインフラへの古典的な悪用経路です。
攻撃経路
認証されていない攻撃者が、シリアライズされた第三者スコアラーデータをスコアラー/GenAI評価エンドポイントにPOSTします。Scorer.model_validate_jsonは、選択されたクラスやそのコンストラクタ引数を制約せずに、モジュールパスの許可リストを介してクラスを解決します。trulens/trulens-providers-litellmがインストールされている場合、攻撃者はmlflow.genai.scorers.trulensを選択し、モデルURIをMLflowのネイティブプロバイダーレジストリの外に設定して実行をLiteLLMフォールバックにフォールバックさせ、攻撃者が選択したホストまたは内部ホストへのアウトバウンドリクエストを攻撃者が制御するヘッダーとボディで発行させるapi_base/api_key値を供給できます。
影響を受けるシステム
MLflow >= 3.12.0rc0, < 3.17.0
緩和策
MLflow 3.17.0にアップグレード（修正コミットbac30b4；アドバイザリGHSA-2wqp-q3c6-ccj5）。回避策：スコアラーエンドポイントが公開されている場合は、オプションのtrulens/trulens-providers-litellmパッケージをインストールしないこと、および/ajax-api/.../scorer/invokeを認証なしで公開しないこと。