機械学習プラットフォーム「MLflow」に認証バイパスの脆弱性

機械学習プラットフォーム「MLflow」に認証の回避が可能となる深刻な脆弱性が確認された。アドバイザリが公表されており、すでに修正済みだという。

認証情報がデフォルトでファイル内にハードコードされており、認証のバイパスが可能となる脆弱性「CVE-2026-2635」が明らかとなったもの。脆弱性を悪用することで、認証を必要とすることなくリモートからアクセスが可能となり、管理者の権限で任意のコードを実行できる。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

2025年10月14日にZero Day Initiativeが脆弱性を報告した。2025年12月に修正が実施され、調整を経て2026年2月19日にアドバイザリとして公開された。

「MLflow」については、重要度が「高（High）」とされるパストラバーサルの脆弱性「CVE-2026-2033」も修正されており、同時期に修正されたという。

（Security NEXT - 2026/02/24 ）ツイート