何が起きたか
mlflow/genai/scorers/base.pyにおけるサードパーティスコアラーの非直列化は、完全一致の許可モジュールを要求せず、リクエストで選択されたTHIRD_PARTY_SCORER_ALLOWED_MODULESの派生クラスを受け入れるため、呼び出し元は書き込み可能な許可パッケージに悪意あるモジュールを配置し、scorer/invokeエンドポイントを通じてそれをインポートおよびインスタンス化できます。これは、以前のMLflowスコアラーSSRF（CVE-2026-115886）に続く、より深刻な別のCVEであり、SSRFから完全なコード実行（CVSS 9.8、CWE-94/CWE-470）へと悪化させます。
なぜ重要か
AIデプロイメントでは、これによりMLflowモデルレジストリ/GenAI評価エンドポイントが、デフォルト構成で未認証のRCEコンソールと化します。攻撃者は、モデル、評価、トレースをホストするサーバープロセス内でコードを実行し、周囲のMLプラットフォーム、データストア、およびプロセスが保持するクラウド資格情報へと移動できます。
攻撃経路
呼び出し元はMLflowアーティファクトエンドポイントを使用して、書き込み可能な許可パッケージの下にPythonモジュールを配置し、/ajax-api/3.0/mlflow/scorer/invokeを通じてそのモジュール/クラスを送信します。スコアラーのmodel_validate_jsonは、トレース処理の前にモジュールをインポートしてクラスを構築し、サーバーの権限でコード実行を引き起こします。
影響を受けるシステム
MLflow >= 3.12.0rc0、< 3.17.0
緩和策
MLflow 3.17.0にアップグレードしてください（GHSA-26p8-2jq9-3vq9）。許可スコアラーパッケージを書き込み不可能な場所に制限し、MLflowサーバーで認証を有効にしてください。