MLflowの脆弱性CVE-2026-116692｜認証なしのコード実行と3.17.2への更新

3.17.0で直った主な脆弱性は次の4件です。深刻度とCVSS 3.1の値は、MLflowのアドバイザリの評価です。[1][2][3][4]

コード実行の件は、実験の保存先を評価器のパッケージの中に指定し、実行の成果物としてPythonのファイルを置いたうえで、評価器の呼び出し（/ajax-api/3.0/mlflow/scorer/invoke）でそのファイルを読み込ませるものです。[1]

• コード実行：3.12.0rc0以上3.17.0未満のトラッキングサーバーに、ネットワークから届くこと。サーバーのプロセスが評価器のパッケージの下に書き込めることも条件で、公式のコンテナイメージ（3.14.0で確認）ではrootで動き、この条件を満たしていました。basic認証を有効にしている場合は、実験の作成と成果物のアップロードができる利用者が必要です。[1]
• ファイル読み取り：3.10.0〜3.16.1で、モデルの登録の機能が使えるサーバー。--app-name basic-authでも、モデルを作れる利用者なら認証のデータベース（管理者のパスワードのハッシュを含む）を読めるおそれがあります。[2]
• APIキーの記録：2.19.0以上3.17.0未満で、mlflow.crewai.autolog()を有効にし、CrewAIのLLMにAPIキーを渡しているアプリ。サーバーを公開しているかは関係ありません。[3]
• SSRF：3.12.0rc0以上3.17.0未満で、サーバーにtrulensとtrulens-providers-litellmを入れている場合。[4]

4件とも、米CISAの「悪用が確認された脆弱性の一覧（KEV）」には載っていません（11月6日版で確認）。どのアドバイザリにも再現の手順（PoC）が載っています。今後30日に悪用される見込みの推定（EPSS）は、コード実行の件が0.70%、ファイル読み取りの件が1.80%です（11月8日時点）。[1][2][7][8]

MLflowでは、Webhookの送信先の検証を回避できるSSRF（CVE-2026-64849、3.15.0で修正）が2026年8月19日にKEVへ追加されています。MLflowのサーバーは実際に攻撃の対象になっています。[7][9]

推奨する版は、MLflowのアドバイザリ、GitHub Advisory、PyPIに公開済みの版から出しました（11月9日確認）。上げる前にリリースノートで変更点を確かめてください。[1][2][3][4][5][6]

3.17.0は10月7日、3.17.2は10月21日にPyPIに公開されました。CVE-2026-53995は、トレースのIDに細工した値を送ると保存先の外にファイルを書き込める脆弱性で、記録の保存方式にファイル（FileStore）を使うサーバーが対象です。FileStoreは3.7.0より前の既定で、それ以降は明示したときだけ使われます。[5][6]

1. サーバーを動かしている環境とアプリの環境で、MLflowの版を確かめます。lockファイルに記録された版も見ます。

   ターミナル

   python -m pip show mlflow
   grep -n -i "mlflow" requirements*.txt poetry.lock uv.lock

2. サーバーの起動の仕方を確かめます。--host 0.0.0.0などで外から届く状態か、--app-name basic-authを付けているかを見ます。

   ターミナル

   ps aux | grep -i "mlflow server"

3. CrewAIの自動記録を使っているかを確かめます。[3]

   ターミナル

   grep -rn "crewai.autolog" --include="*.py" .

4. 3.17.2以上に上げます（使っているツールの行を実行します）。コンテナで動かしている場合は、イメージを作り直します。

   ターミナル

   python -m pip install --upgrade "mlflow>=3.17.2"
   uv lock --upgrade-package mlflow
   poetry update mlflow

5. サーバーを再起動し、実際に読み込まれる版を確かめます。

   ターミナル

   python -c "import mlflow; print(mlflow.__version__)"

アドバイザリにある回避策は、APIキーの記録の件で、CrewAIの自動記録を無効にすることだけです。コード実行・ファイル読み取り・SSRFの件には、更新以外の回避策が書かれていません。[1][2][3][4]

mlflow.crewai.autolog(disable=True)

あわせて、トラッキングサーバーを社内のネットワークだけで使えるようにし、インターネットから届かないようにします。basic認証は、コード実行とファイル読み取りの件を防ぎきれないので、利用者を絞る手段として使います。[1][2]

3.17.0に上げると新しい記録にはキーが入らなくなりますが、すでに書き込まれたキーは残ります。アドバイザリは、2.19.0〜3.16系でmlflow.crewai.autolog()を有効にしていた間にCrewAIのLLMが持っていたキーを作り直すよう求めています。[3]

キーは、エージェントとCrewの記録の属性とmlflow.spanInputsに入ります。MLflowのトラッキングの保存先と、送っていたOTLPの送り先の両方で、該当する記録を消すか伏せます。[3]