CVE-2026-13484 MLflowの認証バイパス脆弱性解説とAIシステム運用者向け安全対策ガイド

結論

• 危険度: Medium (CVSS 5)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-06-28 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-13484はMLflowのラベルスキーマAPIで権限検証が抜け、攻撃者が認証なしに遠隔操作で操作可能な脆弱性です。LLMゲートウェイ運用者などに対して重要な対応が必要です。

やさしく説明すると

この脆弱性は、玄関の鍵が掛かっていない状態に例えられます。誰でも勝手にラベルを変えられ、実は認証のチェックが抜けているので合鍵なしで入れてしまいます。結果として、重要な実験データや設定を無断で書き換えられる恐れがあります。

技術的な原因

問題は「認可チェック欠如（CWE-862）」及び「アクセス制御の誤設定（CWE-863）」です。具体的には、MLflowのExperiment-scoped Label Schema CRUD APIが内部で認可（アクセス権の確認）を省略し、認証済みユーザー以外が操作できる状態になっています。攻撃はネットワーク経由で実施可能ですが、複雑度が高い（攻撃の難易度が高い）ため容易には悪用されません。

影響を受けると何が困るか

• AI GatewayやLLM Proxyの運用においてラベルや設定を不正に変更され、管理不全に陥る
• 一部のAPIキーや認証情報が間接的に漏洩する可能性
• LLMのコンテキスト情報や顧客データが不正操作で書き換え・窃取されるリスク
• Agentフレームワークの管理対象エージェントを乗っ取られる恐れ
• バイブコーダー開発者が利用する環境での不正操作のリスク
• RAGパイプラインのデータ改ざん、請求コストの急増など

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは 5.0 (Medium) で、中程度のリスク
• 攻撃複雑度が高い（AC:H）。攻撃者は低権限（PR:L）で利用可能だが、実行難易度が高い
• ユーザ操作は不要（UI:N）でリモート攻撃可能
• EPSSスコアは提供なし
• ランサムウェア悪用は確認されていない（Unknown）
• 公開されたPoCやエクスプロイトは存在しない
• 認可チェックの欠如という根本的問題だが、最後に認証・リリース調整も予定されている

誰が動くべきか

• LLM GatewayやMLflowを本番運用するチーム
• Agentフレームワークの開発者やSRE/SecOpsチーム
• バイブコーダーなどAIコーディングツール利用者で関連するMLflow連携がある開発者
• MLライフサイクル管理を行うML Ops担当

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python環境（pip）

pip show mlflow

出力例:

Name: mlflow
Version: 1.34.1
Summary: MLflow: Manage the machine learning lifecycle, including experimentation, reproducibility and deployment.
Home-page: https://mlflow.org
Author: Databricks, Inc.
Author-email: info@mlflow.org
License: Apache License Version 2.0
Location: /path/to/python/site-packages
Requires: cloudpickle, numpy, pandas
Required-by: your-application

判定: バージョンが 4666cffc7912ea606d592fc38d6a75e2935f65e7 （GitコミットID）以前またはPR未統合の状態だと脆弱。

設定確認

この脆弱性は認証・認可処理の欠落によるため、設定での無効化は現時点で提供されていません。バージョン管理で対応してください。

Nucleiテンプレートでの検出

本脆弱性の検出用Nucleiテンプレートは公開されていません。バージョン確認での検出を推奨します。

STEP 4: 修正を適用する

パッチ適用

現時点で修正コードはGitHubのPRとして存在し、まだ正式リリースされていません。MLflow公式リリースで認証ハンドラー追加が行われるまでの待機が必要です。

アップグレード手順は、リリース後に公式ドキュメントを参照してください。リリース版を以下のようにpipでインストールします。

Python環境（pip）

pip install --upgrade mlflow

判定: インストールされた mlflow のバージョンに修正が含まれることを確認してください。

注意: パッチリリース前にアップデートする場合は、本番環境での影響を考慮しテスト環境での検証を推奨します。特に本番のMLライフサイクルを管理するサービスではバックアップも必須です。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。修正までの間は、MLflowのAPIの外部公開を制限し、信頼されたネットワーク内部のみで運用してください。また、WAFやIPSのルールで該当APIへのアクセス制限を検討してください。

STEP 5: 修正されたことを確認する

まずはSTEP 3で実行したバージョン確認コマンドを、修正後の環境で再度実行します。

期待される出力

Python環境（pip）

pip show mlflow

出力例:

Name: mlflow
Version: 1.35.0  # 例: 修正版ならバージョンまたはGitコミットIDで上書きされていること
Summary: MLflow: Manage the machine learning lifecycle, including experimentation, reproducibility and deployment.
Home-page: https://mlflow.org
Author: Databricks, Inc.
Author-email: info@mlflow.org
License: Apache License Version 2.0
Location: /path/to/python/site-packages
Requires: cloudpickle, numpy, pandas
Required-by: your-application

判定: バージョンが 4666cffc7912ea606d592fc38d6a75e2935f65e7 より新しいか、認証ハンドラー統合済みのリリースなら安全。

追加で確認すべきこと

• 公開されている場合、Nucleiテンプレートを使い再スキャンして脆弱性が検出されないか確認する
• MLflowのアクセスログに不審なリクエストが記録されていないか調査する

補足: 悪用観測状況

現時点で本脆弱性の公開PoCやExploitは確認されていません。ランサムウェアによる悪用も未知で、複雑度が高いため容易な悪用は報告されていません。ただし攻撃手法がGitHub上で議論されているため今後の注意が必要です。

補足: CVSSメトリクス詳細

• AV (Attack Vector): NETWORK（リモートからアクセス可能）
• AC (Attack Complexity): HIGH（攻撃の難易度は高い）
• PR (Privileges Required): LOW（低権限で実行可能）
• UI (User Interaction): NONE（ユーザ操作不要）
• S (Scope): UNCHANGED（リソースの影響範囲は限定的）
• C (Confidentiality): LOW（情報漏洩の影響は限定的）
• I (Integrity): LOW（改ざん影響は低い）
• A (Availability): LOW（サービス妨害の影響は低い）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3でバージョン確認をし、STEP 4で公式リリースのパッチ適用を行い、STEP 5で動作確認してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 外部ネットワークから脆弱APIへのアクセスを遮断し、WAFやIPSで通信制限を検討してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. MLflowのアクセスログに不審なAPI呼び出しがないか監査し、GitHubのIOC情報などを参照してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的な深刻度を示しますが、EPSSは実際に悪用される可能性を示します。両者を併せて見ることで対応の優先度判断が正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 権限管理の不備（CWE-862、CWE-863）による認可欠如の脆弱性は他のAPIやフレームワークでも報告されています。同様の管理不足に注意してください。

参考文献

• NVD: CVE-2026-13484
• GitHub Issue #23608
• GitHub Advisory GHSA-wfp4-8wh2-c48v
• VulDB CVE-2026-13484情報

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• authz-missing に関するCVE・脆弱性記事一覧
• authz に関するCVE・脆弱性記事一覧
• MLOps に関するCVE・脆弱性記事一覧