Un fallo en AWS Multi Model Server expone la infraestructura de inferencia a la falsificación de peticiones

Se ha identificado una vulnerabilidad de falsificación de peticiones del lado del servidor en el framework de código abierto Multi Model Server de Amazon Web Services, la cual afecta a implementaciones que ejecutan la versión 1.1.11 y anteriores. Según la información de vulnerabilidades publicada por la base de datos de ciberseguridad VulDB, el fallo de seguridad está registrado bajo el identificador CVE-2026-115813. El defecto reside directamente en la ruta de descarga de modelos del software, una rutina interna encargada de obtener artefactos de modelos de aprendizaje automático desde ubicaciones remotas. Al manipularse, este tipo de vulnerabilidades puede permitir que actores no autorizados obliguen a un servidor de aplicaciones a iniciar peticiones de red hacia destinos externos no previstos o hacia infraestructura interna sensible, exponiendo redes privadas a actividades de reconocimiento y recolección de credenciales.

## Datos clave

- La vulnerabilidad está catalogada como CVE-2026-115813 y afecta a las versiones de Amazon Web Services Multi Model Server hasta la 1.1.11. - El defecto de seguridad está clasificado como un fallo de falsificación de peticiones del lado del servidor ubicado específicamente dentro de la ruta de descarga de modelos del framework. - La divulgación fue registrada por la plataforma de monitorización de vulnerabilidades VulDB el 23 de octubre de 2026. - Multi Model Server es un framework de código abierto desarrollado para servir modelos de aprendizaje profundo para inferencia a través de múltiples motores de computación. - La explotación de la falsificación de peticiones del lado del servidor suele permitir a los atacantes eludir perímetros de red, consultar servicios internos de metadatos en la nube e interactuar con subredes privadas.

## Qué ocurrió

La vulnerabilidad catalogada como CVE-2026-115813 surgió de una evaluación de Amazon Web Services (AWS) Multi Model Server, una herramienta de código abierto desarrollada por AWS Labs para gestionar la inferencia de modelos de aprendizaje automático. Según la información de VulDB, el fallo compromete específicamente el componente del software encargado de descargar paquetes de modelos en el servidor host.

En condiciones normales de operación, Multi Model Server expone interfaces de gestión que permiten a los ingenieros de sistemas y a los canales automatizados registrar, configurar y escalar dinámicamente modelos de aprendizaje automático. Cuando se introduce un nuevo modelo en el sistema, un operador proporciona una dirección —normalmente un identificador de recursos uniforme (URI) o URL— que apunta al lugar donde se encuentra almacenado el archivo comprimido del modelo. A continuación, el software del servidor procesa dicha entrada, establece una conexión de red saliente y descarga los archivos requeridos en su caché local antes de inicializar los procesos de trabajo del modelo.

En las implementaciones afectadas por CVE-2026-115813, la validación de entrada que rige esa rutina de descarga resulta insuficiente. Debido a que el servidor no restringe rigurosamente los protocolos, rangos de direcciones IP o nombres de host que acepta durante la fase de obtención, un atacante capaz de enviar solicitudes al punto de conexión de gestión puede especificar destinos maliciosos. En lugar de recuperar un archivo de modelo autorizado desde un bucket de almacenamiento de confianza, se le puede ordenar al servidor que emita peticiones HTTP internas a otras máquinas de la red privada o a endpoints de enlace local para la gestión en la nube.

El registro de VulDB señala que el fallo se aplica a todas las versiones de Multi Model Server hasta la versión 1.1.11 inclusive. La base de datos registra el hallazgo como un riesgo activo de falsificación de peticiones del lado del servidor (SSRF), determinando que la amenaza proviene de que el servidor actúa como un proxy involuntario para llamadas de red salientes.

## Por qué es importante

El descubrimiento de CVE-2026-115813 pone de manifiesto los persistentes riesgos arquitectónicos en la intersección entre la computación corporativa en la nube y las operaciones de inteligencia artificial. Las plataformas de servicio de inferencia representan puntos críticos en los entornos modernos de TI: con frecuencia se ejecutan dentro de subredes privadas, interactúan con bases de datos backend confidenciales y poseen un amplio acceso de red para facilitar la comunicación de baja latencia con otros microservicios. Cuando un framework de inferencia sufre una vulnerabilidad SSRF, la premisa tradicional de defensa del perímetro de red se derrumba.

En entornos de nube como AWS, las vulnerabilidades SSRF representan una grave amenaza operativa. Si un atacante logra obligar a un servidor alojado en la nube a realizar peticiones HTTP arbitrarias, el objetivo principal suele ser el servicio de metadatos de la instancia. En la infraestructura de AWS, este servicio ha sido históricamente accesible en la dirección IP de enlace local 169.254.169.254. La consulta de esa dirección permite que una aplicación visualice las propiedades de la instancia y, fundamentalmente, obtenga credenciales de seguridad temporales asociadas con el rol de Identity and Access Management (IAM) del host. Si un fallo SSRF permite el acceso no autorizado a ese endpoint, un atacante puede extraer tokens de seguridad y asumir los privilegios del host subyacente en la nube, lo que facilita el acceso no autorizado a datos en todo el entorno empresarial en la nube.

Más allá de los riesgos relativos a credenciales en la nube, los fallos SSRF permiten a los actores de amenazas realizar escaneos de puertos internos y mapear intranets corporativas que están completamente ocultas de la internet pública. Las organizaciones que implementan frameworks de aprendizaje automático a menudo automatizan sus cadenas de despliegue de modelos mediante sistemas de integración y despliegue continuos (CI/CD). Si esos flujos de trabajo automatizados interactúan con una instancia no parcheada de Multi Model Server, usuarios no autorizados podrían explotar el proceso de registro de modelos para ejecutar movimientos laterales, acceder a interfaces de programación de aplicaciones (API) internas desprotegidas o manipular datos operativos propietarios.

## Antecedentes

AWS Labs presentó por primera vez Multi Model Server en 2018 como una herramienta de código abierto lista para producción y diseñada para servir inferencias, con el fin de abordar los desafíos operativos del despliegue de modelos de aprendizaje profundo a gran escala. Creado inicialmente en torno a Apache MXNet y posteriormente ampliado para admitir PyTorch y el formato Open Neural Network Exchange (ONNX), Multi Model Server fue diseñado para alojar múltiples modelos de manera simultánea en un grupo compartido de unidades de procesamiento gráfico (GPU) y unidades centrales de procesamiento (CPU). Al cargar dinámicamente modelos en memoria y escalar los subprocesos de trabajo según el tráfico entrante de inferencia, la plataforma redujo significativamente los costes de computación y la sobrecarga operativa para los equipos empresariales de IA.

A medida que evolucionó el ecosistema de aprendizaje automático, la arquitectura fundamental de Multi Model Server ganó una tracción sustancial en la industria. En 2020, AWS se asoció con el equipo de PyTorch en Facebook (ahora Meta) para lanzar TorchServe, un motor de inferencia empresarial desarrollado directamente sobre el código principal y los principios arquitectónicos establecidos por Multi Model Server. En consecuencia, las decisiones de diseño arquitectónico y los patrones de gestión de entradas introducidos en Multi Model Server han influido en múltiples generaciones de frameworks de servicio de aprendizaje automático en toda la comunidad de código abierto.

La falsificación de peticiones del lado del servidor ha sido reconocida desde hace tiempo como una preocupación de primer nivel en la seguridad del software, ganándose una categoría independiente en la lista OWASP Top 10 de riesgos de seguridad en aplicaciones web del Open Web Application Security Project. La industria de la nube en general experimentó el potencial catastrófico de las vulnerabilidades SSRF durante la filtración de datos de Capital One en 2019, en la que un atacante aprovechó una vulnerabilidad SSRF en un firewall de aplicaciones web mal configurado para consultar el servicio de metadatos de AWS, comprometer credenciales administrativas y sustraer registros pertenecientes a más de 100 millones de personas.

Tras ese incidente, AWS introdujo Instance Metadata Service Version 2 (IMDSv2) en noviembre de 2019. A diferencia de su predecesor, IMDSv2 exige a los emisores iniciar una sesión y obtener un token de sesión criptográfico mediante una solicitud HTTP PUT antes de recuperar metadatos, un diseño destinado específicamente a frustrar exploits SSRF simples basados en peticiones estándar HTTP GET. No obstante, la adopción de IMDSv2 sigue siendo opcional o incompleta en muchos entornos heredados, lo que deja a los sistemas vulnerables a ataques SSRF si las aplicaciones individuales no depuran las peticiones de red externas.

## Reacciones

Tras la publicación del registro por parte de VulDB, aún no se han vinculado formalmente declaraciones públicas oficiales de Amazon Web Services ni de los mantenedores del repositorio de código abierto en la ficha del catálogo. En los procedimientos habituales de divulgación de vulnerabilidades, los mantenedores del software evalúan las entradas CVE divulgadas a través del programa Common Vulnerabilities and Exposures, supervisado por MITRE Corporation junto con las CVE Numbering Authorities autorizadas.

Dentro de los entornos corporativos en la nube, los equipos de ciberseguridad supervisan habitualmente bases de datos como VulDB y la National Vulnerability Database (NVD), operada por el National Institute of Standards and Technology (NIST), para evaluar las amenazas emergentes frente a sus inventarios de software. Dado que Multi Model Server es un proyecto de código abierto alojado en GitHub, la mitigación suele producirse mediante solicitudes de incorporación de cambios (pull requests) enviadas por mantenedores o colaboradores de la comunidad, acompañadas de etiquetas de versión actualizadas y documentación del lanzamiento.

Se espera que los ingenieros de seguridad que siguen la pista a la divulgación evalúen si sus clústeres internos de inferencia exponen los endpoints de gestión de Multi Model Server a redes públicas o a subredes internas no fiables. Las guías estándar de refuerzo de seguridad emanadas de organismos especializados en la nube recomiendan de manera universal aislar las API administrativas en el puerto 8081 o el puerto 8444, aplicar listas de control de acceso de red (NACL) de salida estrictas para bloquear conexiones salientes hacia rangos de IP arbitrarios y exigir IMDSv2 en todas las máquinas virtuales EC2 subyacentes.

## Lo que aún se desconoce

Varios detalles técnicos específicos sobre CVE-2026-115813 siguen sin confirmarse en la información inicial de VulDB. El aviso preliminar no proporciona un vector o puntuación base definitiva del Common Vulnerability Scoring System (CVSS), dejando indeterminada la medida matemática estandarizada de su gravedad y explotabilidad. Además, el registro no especifica si la vulnerabilidad requiere autenticación administrativa activa para activarse o si puede ser explotada por un actor remoto no autenticado cuando los puertos de gestión están accesibles.

A partir de la divulgación disponible tampoco queda claro si se ha publicado un parche oficial en una versión posterior a la 1.1.11, o si existe una solución alternativa temporal para las organizaciones que no puedan actualizar de inmediato sus clústeres de inferencia. Por último, el aviso no indica si se ha observado que CVE-2026-115813 esté siendo explotada activamente, ni identifica al investigador de seguridad u organización a quien se atribuye el reporte del fallo a los mantenedores.

## A qué prestar atención

Las organizaciones que gestionan infraestructura de inferencia de aprendizaje automático deben hacer un seguimiento de varios hitos próximos para determinar su nivel de exposición y el calendario de mitigación:

- El análisis formal y la puntuación de gravedad por parte de la National Vulnerability Database, que asignará una puntuación estandarizada CVSS v3.1 o v4.0 detallando el vector de ataque, la complejidad y los privilegios requeridos. - Las notas de la versión oficiales y los commits en el repositorio de GitHub de AWS Labs Multi Model Server, que indicarán si se ha publicado una versión con un parche específico —como la versión 1.1.12— para resolver el fallo en la ruta de descarga. - Los boletines de seguridad de Amazon Web Services que detallen cualquier posible implicación derivada para servicios gestionados, imágenes de contenedor o frameworks derivados, incluidas las implementaciones de TorchServe que puedan heredar patrones de código de Multi Model Server. - Las auditorías administrativas por parte de los operadores de la nube para confirmar que Instance Metadata Service Version 2 se aplique de manera estricta en todas las instancias de máquinas virtuales que ejecutan cargas de trabajo de servicio de modelos, haciendo que la extracción de credenciales de enlace local sea notablemente más difícil en caso de un ataque SSRF.

Este informe se basa en información sobre vulnerabilidades publicada por VulDB.