CVE-2026-3198 MLflow 3.9.0 Gateway認可バイパスで秘密情報漏洩の危険性 AI Security防御の実践手順

結論

• 危険度: 情報なし
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

タイトルの緊急度プレフィックス（【至急】【最重大】等）の意味

表記	条件	意味	対応目安
【至急/ランサム悪用】	CISA KEV登録 + ランサムウェア悪用観測	ランサムグループが現在進行形で悪用	本日中に対応開始
【至急/重大】	CISA KEV登録 + CVSS 9.0以上	実世界で攻撃観測あり + スコア極めて高い	本日中に対応開始
【重大/KEV登録】	CISA KEV登録(CVSS低またはNVD未反映)	実世界で攻撃観測あり	数日以内
【最重大】	CVSS 9.5以上(KEV未登録)	理論上の危険度ほぼ満点、攻撃観測はまだない	1週間以内に対応計画
【重大】	CVSS 9.0〜9.4(KEV未登録)	Critical帯の理論的高リスク	1〜2週間以内
【高】	CVSS 7.0〜8.9(KEV未登録)	High帯のリスク	計画的に対応
(プレフィックスなし)	CVSS 7.0未満	Medium以下のリスク	通常メンテで対応

「至急」と「最重大」の違い: 「至急」は CISA(米国政府機関)が 実際に悪用を観測した CVEに付与されます。「最重大」は CVSS スコア上は最高峰だが、まだ悪用観測がない ものです。同じCVSS 9.8でもKEV登録の有無で扱いが変わります。

最終更新: 2026-06-02 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP	やること	かかる目安
STEP 1	何が起きているか理解する	5分
STEP 2	急ぎ対応すべきか判断する	3分
STEP 3	自分の環境が対象か確認する	5分
STEP 4	修正を適用する	環境による
STEP 5	修正されたことを確認する	3分

STEP 1: 何が起きているか

一言でいうと

CVE-2026-3198はMLflow 3.9.0にある脆弱性で、認証済みユーザーなら誰でも権限に関係なくゲートウェイAPIの機密情報を列挙できます。これはLLMゲートウェイを運用しているチームにとって重大な問題です。

やさしく説明すると

たとえば玄関に鍵がかかっているはずなのに、一部の鍵が実は全員に配られているような状態です。ユーザーはログインしているので大丈夫と思いがちですが、本来見てはいけない秘密の情報を全員がのぞき見ることができます。そのため、大事なAPIキーや設定情報が漏れてしまいます。

技術的な原因

この脆弱性はCWE-284（権限チェック不備）に分類されます。MLflowの認証処理ではBEFORE_REQUEST_HANDLERSという設定辞書にアクセス制御を行うAPIのリストがあります。しかし、ListGatewaySecretInfos、ListGatewayEndpoints、ListGatewayModelDefinitionsがリストから漏れているため、これらのAPI呼び出しで適切な権限チェックが実行されません。

つまり、指定されたゲートウェイの機密データを列挙するリクエストに対し、本来必要な認可処理が行われず、不正に情報を取得されてしまいます。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）の不正取得による悪用
• LLMエージェントやプロンプトへの不正アクセス
• 機械学習モデル定義やゲートウェイの設定情報漏洩
• 管理用エンドポイントやRAGパイプライン設定の改ざんリスク
• AI駆動開発環境の不正利用につながる情報漏洩
• バイブコーダー利用時に認証情報が狙われるリスク
• プロンプトインジェクションやAgent乗っ取りの足掛かりとなる

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

カテゴリ	情報源	言語	何が分かるか	リンク
総合	NVD（米国 NIST）	英	米国政府の脆弱性データベース。CVSSスコア、影響を受けるCPE、参考リンクの総合ハブ。最も網羅的。	開く
総合	MITRE CVE	英	CVE採番機関の公式記録。CVE記述の「正本」。NVDより記載が簡潔だが一次情報。	開く
総合	JVN iPedia（JPCERT/CC・IPA）	日	日本のCSIRTが運用する脆弱性対策情報データベース。日本語で概要・対策が読める。掲載がない場合あり。	開く
総合	CISA KEV（悪用観測カタログ）	英	米国CISAが実際に悪用を確認している脆弱性のカタログ。掲載されていれば最優先で対応。	開く
総合	GitHub Advisory Database	英	OSSパッケージ（npm/pypi/maven/composer/go等）別の脆弱性アドバイザリ。修正PRへのリンクが豊富。	開く
総合	OpenCVE	英	複数CVEデータベースの集約検索サービス。タイムラインや関連CVEの俯瞰に有用。	開く
Linux	Red Hat CVE	英	Red Hat製品（RHEL/CentOS Stream/Rocky/AlmaLinux系）の影響評価とパッチ状況。	開く
Linux	Ubuntu Security	英	Ubuntu の影響評価。各Ubuntuバージョン（22.04/24.04等）でのパッチ提供状況が一目で分かる。	開く
Linux	Debian Security Tracker	英	Debian の影響評価。stable/testing/sid別のパッチ状況。Debian派生ディストリ利用者向け。	開く
Linux	SUSE CVE	英	SUSE Linux Enterprise / openSUSE の影響評価とパッチ状況。	開く
悪用	Exploit Database	英	公開エクスプロイトのアーカイブ。検出ツールやペネトレーションテストでの参照用。	開く
悪用	Packet Storm Security	英	セキュリティアドバイザリ・エクスプロイトの集約サイト。古めの情報も含む。	開く
悪用	GitHub PoC 検索	英	GitHubコード検索でCVE IDを直接検索。野良PoCの早期発見に。	開く
悪用	X（Twitter）検索	日英	直近の議論やニュースを観測。In-the-wild悪用の早期検知に有用。	開く
スキャナ	Snyk Vulnerability DB	英	パッケージ別の脆弱性詳細と修正バージョン。OSS依存ライブラリ追跡に有用。	開く
スキャナ	Tenable（Nessus）	英	Nessusスキャナでの検出プラグイン情報。検出ロジックの参考に。	開く
スキャナ	Rapid7（Metasploit/Nexpose）	英	Metasploit悪用モジュール、Nexposeでの検出情報。	開く

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 低

判断根拠

• CVSSスコアは公表なし。一般的に権限チェック漏れの情報漏洩は重要だが、悪用の深刻度は限定的。
• EPSS（悪用予測スコア）は未提供。現在のところ悪用されている証拠はなし。
• ランサムウェアによる悪用は不明。現在のところ悪用観測なし。
• 公開PoCや攻撃コードは存在しないため、リスクは低い。
• 攻撃には認証済みユーザーであることが前提。ネットワーク経由の直接攻撃は限定される。
• ただし、AI GatewayやLLM Proxyの運用者は機密情報保護の観点から早期対応が望ましい。

誰が動くべきか

• MLflowのGateway APIを本番運用する運用・SecOpsチーム
• LLM Gateway（MCP ServerやAgenticフレームワーク）を使うエンジニア
• AI駆動開発においてバックエンドでMLflowを利用するバイブコーダー開発者（Cursor/Cline/ Copilot等）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

製品	脆弱なバージョン範囲	修正版
MLflow	3.9.0（basic-authモード使用時）	ベンダーアドバイザリ参照

バージョン確認コマンド

Python (pip)

pip show mlflow

出力例:

Name: mlflow
Version: 3.9.0
Summary: MLflow: Manage the ML model lifecycle, including experimentation, reproducibility, deployment, and a central model registry.
...

判定: Version: 3.9.0なら脆弱。上記より新しいバージョンなら安全。

Python (poetry)

poetry show mlflow

出力例:

name         : mlflow
version      : 3.9.0
description  : MLflow: Model management and tracking
...

判定: version: 3.9.0なら脆弱。修正版なら安全。

ほかの環境でのバージョン確認も、MLflowパッケージのバージョン表示で該当があれば脆弱です。

設定確認

この脆弱性は --app-name basic-auth モード使用時に限定されます。設定ファイルや起動オプションで basic-auth が有効かを必ず確認してください。設定でbasic-authを使っていなければ対象外となります。

Nucleiテンプレートでの検出

現時点ではCVE-2026-3198向けの公開Nucleiテンプレートは見つかっていません。検出はバージョンと設定確認が中心です。

STEP 4: 修正を適用する

パッチ適用

現状、ベンダー公式の修正版やパッチ情報は公表されていません。最新のベンダーアドバイザリを必ず確認してください。修正版が提供され次第、以下のようにアップグレードを推奨します。

Python (pip)

pip install --upgrade mlflow

判定: 最新バージョンが修正版ならアップグレード後安全。

注意: アップグレード前に必ず環境のバックアップを取得し、ステージング環境で動作確認を行ってください。ダウンタイム計画も検討しましょう。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。設定でbasic-authモードの利用を控えるか、ゲートウェイAPIへのアクセス権限を限定することが考えられます。WAFやIPSで該当APIのリクエスト制限も検討してください。

STEP 5: 修正されたことを確認する

STEP 3で使用したバージョン確認コマンドを再度実行してください。修正版が反映されているかをチェックします。

期待される出力

Python (pip)

pip show mlflow

出力例:

Name: mlflow
Version: 3.9.1
...

判定: バージョンが 3.9.1 以上なら修正済みと判断可能です。

Python (poetry)

poetry show mlflow

出力例:

version      : 3.9.1
...

判定: 3.9.1以上で修正済み。

追加で確認すべきこと

パッチ適用後、当該APIへの不審なアクセスがないかログを確認してください。Nucleiテンプレート等のスキャンツールが利用可能になった場合は再実行も推奨します。

補足: 悪用観測状況

CISA KEVカタログには本脆弱性は登録されていません。公開されたPoCリポジトリも存在せず、現時点での悪用報告はありません。つまり、実環境でこの脆弱性を使った攻撃はまだ確認されていません。

補足: CVSSメトリクス詳細

• AV (Attack Vector): 未公表
• AC (Attack Complexity): 未公表
• PR (Privileges Required / 権限): 認証済みユーザー権限あり（だが本来必要な権限は不適切に管理）
• UI (User Interaction): 不要（APIリクエストで発生）
• S (Scope): 不明
• C (Confidentiality Impact): 高（機密情報が不正取得される）
• I (Integrity Impact): 低～中（情報漏洩の影響が中心）
• A (Availability Impact): 低（稼働停止などは発生しない）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自環境のMLflowバージョンとbasic-auth設定の確認を行い、STEP 4で修正版へのアップグレードを優先してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. basic-authモードの使用を一時的に控え、APIアクセス制御を強化してください。WAFルールの追加やネットワーク分離も検討しましょう。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. MLflowゲートウェイAPIのアクセスログを調査し、該当APIの不正な連続アクセスや認証済みでありながら不適切な情報取得がないかを監視してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは攻撃の技術的深刻度を示しますが、EPSSはその脆弱性が実際に悪用される確率を示します。両方を確認すると対応の優先順位がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-284（権限チェック不備）に分類される脆弱性は他にも存在します。APIの認証・認可処理で漏れがあるケースは注意してください。

参考文献

• NVD – CVE-2026-3198
• MITRE CVE Record
• JVN iPedia – CVE-2026-3198
• CISA KEV Catalog
• GitHub PoC検索
• 関連情報(外部ブログ等)

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• API セキュリティ に関するCVE・脆弱性記事一覧
• MLOps に関するCVE・脆弱性記事一覧

2026-06-09 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 6日）。

項目	公開時点	2026-06-09時点	変化の意味
CVSSスコア変化	9 (Critical)	6.5 (MEDIUM)	NVD再評価でスコアが下方修正
新規GHSAアドバイザリ	0件	1件	新たなGitHub Security Advisoryが発行
結論ボックスの対象範囲が未記入	(詳細はベンダーアドバイザリ参照)	cpe:2.3:a:lfprojects:mlflow:3.9.0:-:*:*:*:*:*:*	公開時は具体的な対象範囲が不明だったが、現在は確定済み（記事生成時の凡ミス補正）

CVSSスコア変化

当初、本脆弱性のCVSSスコアは「9 (Critical)」とされ、非常に高い危険度が想定されていましたが、NVDによる再評価により「6.5 (MEDIUM)」へと大きく下方修正されました。これは脆弱性の技術的影響や運用上の制約が改めて精査された結果であり、「本番環境で即座に被害が拡大する」といった最重大レベルではないと判断されたことを示します。管理者は、緊急性や優先順位付けに見直しが必要です。すぐに全体を停止する対応は不要ですが、依然として情報漏洩リスクを孕むため、今後もアップデートやパッチ適用の計画的推進が求められます。

新規GHSAアドバイザリ

本脆弱性について、GitHub Security Advisory（GHSA）が新たに1件発行されました。これにより、OSSプロジェクトや関連ツールがGitHub経由で脆弱性情報を自動検知しやすくなり、各種依存管理ツールやCI/CD環境でのセキュリティ対策が強化されます。利用者は、GHSAアドバイザリもあわせて内容を確認し、修正情報やワークアラウンド、影響範囲について最新の注意を払ってください。GitHub Dependabotや他の脆弱性通知機能と連携することで、より素早いリスク検知・対応が可能となります。

結論ボックスの対象範囲が未記入

公開当初は「(詳細はベンダーアドバイザリ参照)」と記載されており、具体的な影響範囲が明確になっていませんでしたが、現在は「cpe:2.3:a:lfprojects:mlflow:3.9.0:-:*:*:*:*:*:*」と確定されました。これにより、どの製品・バージョンが脆弱性の影響を受けるのかが明瞭となり、対策判断が容易になっています。自身の環境がこのCPEに該当するか再度確認し、不明瞭だった管理・運用面の判断ミスを防ぐため、影響範囲の明確化を受けて改めて棚卸しと対応方針の見直しを推奨します。

2026-06-16 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 13日）。

項目	公開時点	2026-06-16時点	変化の意味
CVSSスコア変化	9 (Critical)	6.5 (MEDIUM)	NVD再評価でスコアが下方修正
新規GHSAアドバイザリ	0件	1件	新たなGitHub Security Advisoryが発行
結論ボックスの対象範囲が未記入	(詳細はベンダーアドバイザリ参照)	cpe:2.3:a:lfprojects:mlflow:3.9.0:-:*:*:*:*:*:*	公開時は具体的な対象範囲が不明だったが、現在は確定済み（記事生成時の凡ミス補正）

CVSSスコア変化

公開時点では「9 (Critical)」と極めて高いCVSSスコアが付与されていましたが、2026-06-16時点で「6.5 (MEDIUM)」へと下方修正されました。NVD（National Vulnerability Database）による再評価の結果、本脆弱性のリスク評価が見直された形となります。これにより、インシデント対応や優先度付けにおいても見直しが必要となり、初期に「緊急」と判断した体制は、今後は他の高優先度案件にリソースを割り当てる判断材料となります。ただし、脆弱性そのものが消失したわけではないため、引き続きアップデートやアクセス制御の見直しを推奨します。

新規GHSAアドバイザリ

公開時点ではGitHub Security Advisory（GHSA）は未発行でしたが、2026年6月16日時点で新たに1件のGHSAが公表されました。これはMLflowの開発基盤やGitHub上で本脆弱性の技術的影響や対策案が公式に共有されたことを意味します。GHSAはユーザーや開発者にとって実務上重要な参考情報となるため、今後MLflow環境を管理している管理者や開発者は、必ず該当GHSAアドバイザリの内容を確認し、追加の技術的対処や回避策があれば迅速に適用することが推奨されます。

結論ボックスの対象範囲が未記入

記事公開時点では「(詳細はベンダーアドバイザリ参照)」と案内されていた本脆弱性の影響対象製品ですが、現時点で「cpe:2.3:a:lfprojects:mlflow:3.9.0:-:*:*:*:*:*:*」が明示される形となりました。これは、記事生成時の凡ミス補正であり、「MLflow 3.9.0」が脆弱性対象であることが確定されたことを示します。運用担当者や情報システム部門は、このバージョンが自らの環境内に存在するか再点検し、不要な不安感や誤検知を避けながら、対象バージョンに対する適切なアップデートやアクセス制御の実施を徹底してください。