| Title | lfprojectsのmlflowにおける重要な機能に対する認証の欠如に関する脆弱性 |
|---|---|
| Summary | mlflow/mlflowにおいて、basic-authアプリが有効な場合でも、/ajax-api/3.0/jobs/*以下のFastAPIジョブエンドポイントは認証や認可によって保護されていません。この脆弱性はリポジトリの最新バージョンに影響します。ジョブ実行が有効化されている場合（MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true）かついずれかのジョブ関数が許可リストに登録されていると、任意のネットワーククライアントが資格情報なしにジョブの送信、閲覧、検索、キャンセルを行うことができ、basic-authを完全に回避します。これにより、許可されたジョブがシェル実行やファイルシステムの変更などの特権的な操作を行う場合、認証されていないリモートコード実行が発生する可能性があります。ジョブが安全と見なされていても、これは認証回避に該当し、ジョブのスパム、サービス拒否（DoS）、またはジョブ結果のデータ漏洩を引き起こす恐れがあります。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 3, 2026, midnight |
| Registration Date | April 22, 2026, 10:10 a.m. |
| Last Update | April 22, 2026, 10:10 a.m. |
| CVSS3.0 : 緊急 | |
| Score | 9.8 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| lfprojects |
| mlflow |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年04月22日] 掲載 |
April 22, 2026, 10:10 a.m. |
| Summary | In mlflow/mlflow, the FastAPI job endpoints under `/ajax-api/3.0/jobs/*` are not protected by authentication or authorization when the `basic-auth` app is enabled. This vulnerability affects the latest version of the repository. If job execution is enabled (`MLFLOW_SERVER_ENABLE_JOB_EXECUTION=true`) and any job function is allowlisted, any network client can submit, read, search, and cancel jobs without credentials, bypassing basic-auth entirely. This can lead to unauthenticated remote code execution if allowed jobs perform privileged actions such as shell execution or filesystem changes. Even if jobs are deemed safe, this still constitutes an authentication bypass, potentially resulting in job spam, denial of service (DoS), or data exposure in job results. |
|---|---|
| Publication Date | April 4, 2026, 3:16 a.m. |
| Registration Date | April 15, 2026, 11:24 a.m. |
| Last Update | April 21, 2026, 10:45 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:lfprojects:mlflow:-:*:*:*:*:*:*:* | |||||