MLflow Tracking Server モデル作成ディレクトリトラバーサルによるリモートコード実行脆弱性

この脆弱性は、攻撃者がMLflow Tracking Server上で任意のコードを実行することを可能にします。攻撃者は、認証なしでモデルファイルパスを操作することで、システムファイルへのアクセスや、機密情報の窃取、さらにはシステム全体の制御奪取といった攻撃を実行する可能性があります。特に、MLflow Tracking Serverが重要なデータやモデルを扱う環境では、この脆弱性の悪用による被害は甚大となる可能性があります。類似の脆弱性は、ファイルパスの検証不備から発生するケースで多く見られます。

Organizations heavily reliant on MLflow for model tracking and deployment are particularly at risk. This includes data science teams, machine learning engineers, and companies deploying machine learning models in production environments. Shared hosting environments where multiple users share the same MLflow instance are also at increased risk, as a compromised model could potentially affect other users.

• python / mlflow:

import os
import subprocess

def check_mlflow_version():
    try:
        result = subprocess.run(['mlflow', '--version'], capture_output=True, text=True, check=True)
        version = result.stdout.strip()
        if version <= '3.0.0rc3':
            print(f"MLflow version is vulnerable: {version}")
        else:
            print(f"MLflow version is patched: {version}")
    except FileNotFoundError:
        print("MLflow is not installed.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking MLflow version: {e}")

check_mlflow_version()

• linux / server: journalctl filters for suspicious process executions within the MLflow Tracking Server directory.

journalctl -u mlflow-tracking-server -g 'path=/path/to/mlflow/models/'

1. 2025-10-29Disclosure

   disclosure

2. 2025-10-29Patch

   patch

1. 予約済み2025-09-30
2. 公開日2025-10-29
3. 更新日2025-12-05
4. EPSS 更新日2026-03-23

まず、MLflow Tracking Serverを3.0.0以降のバージョンにアップデートすることが最も効果的な対策です。アップデートが困難な場合は、モデルファイルが保存されるディレクトリへのアクセス制限を強化し、攻撃者が不正なパスを操作できないように設定してください。また、WAF（Web Application Firewall）を導入し、ディレクトリトラバーサルの攻撃パターンを検知・遮断することも有効です。さらに、MLflow Tracking Serverのログを監視し、不審なアクセスやファイル操作の兆候を早期に発見することも重要です。アップデート後、モデルの作成と保存が正常に行われていることを確認してください。