MLflow に mlflow/sagemaker/__init__.py にコマンドインジェクションの脆弱性があります

この脆弱性を悪用されると、攻撃者はMLflowの実行環境上で任意のコマンドを実行できるようになります。これにより、機密情報の窃取、システムの改ざん、さらにはシステム全体の制御権の奪取といった深刻な被害が発生する可能性があります。特に、MLflowがクラウド環境やCI/CDパイプラインに統合されている場合、攻撃の影響範囲は広がる可能性があります。類似の脆弱性は、他の機械学習プラットフォームにおいても報告されており、注意が必要です。攻撃者は、コンテナイメージ名に悪意のあるコマンドを埋め込み、MLflowの実行時にそのコマンドが実行されるように仕向けます。

Organizations heavily reliant on MLflow for machine learning model management, particularly those using it in CI/CD pipelines or cloud deployments, are at significant risk. Shared hosting environments where multiple users have access to the MLflow CLI are also vulnerable, as an attacker could potentially exploit the vulnerability on behalf of another user.

• python / mlflow:

import subprocess
import os

def check_mlflow_version():
    try:
        result = subprocess.check_output(['mlflow', '--version'], stderr=subprocess.STDOUT)
        version = result.decode('utf-8').strip()
        if version <= '3.7.0rc0':
            print(f"MLflow version is vulnerable: {version}")
        else:
            print(f"MLflow version is not vulnerable: {version}")
    except FileNotFoundError:
        print("MLflow is not installed.")
check_mlflow_version()

• generic web: Check for suspicious container image names being passed to MLflow CLI via command-line arguments or environment variables. Monitor access logs for unusual activity related to MLflow.

1. 2026-03-16Disclosure

   disclosure

1. 予約済み2025-12-08
2. 公開日2026-03-16
3. 更新日2026-03-17
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずMLflowをバージョン3.8.0rc0以降にアップグレードすることを推奨します。アップグレードが困難な場合は、一時的な回避策として、--containerパラメータに渡すコンテナイメージ名を厳密に検証し、許可されたイメージ名のみを受け入れるように制限することが考えられます。また、Webアプリケーションファイアウォール（WAF）やプロキシサーバーを使用して、悪意のあるコマンドの実行をブロックすることも有効です。MLflowのログを監視し、異常なコマンド実行の兆候がないか確認することも重要です。アップグレード後、mlflow sagemaker create-executionコマンドを実行し、正常に完了することを確認してください。