Une faille dans AWS Multi Model Server expose l'infrastructure d'inférence au Request Forgery

Une vulnérabilité de type Server-Side Request Forgery a été identifiée dans le framework open source Multi Model Server d'Amazon Web Services, affectant les déploiements exécutant la version 1.1.11 et les versions antérieures. Selon les informations sur les vulnérabilités publiées par la base de données de cybersécurité VulDB, la faille de sécurité est répertoriée sous l'identifiant CVE-2026-115813. Le défaut réside directement dans le chemin de téléchargement de modèles du logiciel, une routine interne chargée de récupérer les artefacts de modèles de machine learning depuis des emplacements distants. Lorsqu'elles sont manipulées, de telles vulnérabilités peuvent permettre à des acteurs non autorisés de contraindre un serveur d'application à initier des requêtes réseau vers des destinations externes non prévues ou vers une infrastructure interne sensible, exposant les réseaux privés à des opérations de reconnaissance et de collecte d'identifiants.

## Key facts

- La vulnérabilité est répertoriée sous l'identifiant CVE-2026-115813 et affecte les versions d'Amazon Web Services Multi Model Server jusqu'à la version 1.1.11. - Le défaut de sécurité est classé comme une faille de type Server-Side Request Forgery située spécifiquement au sein du chemin de téléchargement de modèles du framework. - La divulgation a été enregistrée par la plateforme de surveillance des vulnérabilités VulDB le 23 octobre 2026. - Multi Model Server est un framework open source développé pour servir des modèles de deep learning pour l'inférence à travers plusieurs moteurs de calcul. - L'exploitation du Server-Side Request Forgery permet généralement aux attaquants de contourner les périmètres réseau, d'interroger les services internes de métadonnées cloud et d'interagir avec des sous-réseaux privés.

## What happened

La vulnérabilité répertoriée sous l'identifiant CVE-2026-115813 est apparue lors d'une évaluation d'Amazon Web Services (AWS) Multi Model Server, un outil open source développé par AWS Labs pour gérer l'inférence de modèles de machine learning. Selon les informations de VulDB, la faille compromet spécifiquement le composant du logiciel responsable du téléchargement des paquets de modèles sur le serveur hôte.

Dans des conditions opérationnelles normales, Multi Model Server expose des interfaces de gestion qui permettent aux ingénieurs systèmes et aux pipelines automatisés d'enregistrer, de configurer et de faire évoluer dynamiquement les modèles de machine learning. Lorsqu'un nouveau modèle est introduit dans le système, un opérateur fournit une adresse — généralement un Uniform Resource Identifier (URI) ou une URL — pointant vers l'emplacement où l'archive du modèle empaqueté est stockée. Le logiciel serveur traite ensuite cette entrée, établit une connexion réseau sortante et télécharge les fichiers requis dans son cache local avant d'initialiser les processus worker du modèle.

Dans les déploiements affectés par CVE-2026-115813, la validation des entrées régissant cette routine de téléchargement est insuffisante. Étant donné que le serveur ne restreint pas rigoureusement les protocoles, les plages d'adresses IP ou les noms d'hôtes qu'il accepte pendant la phase de récupération, un attaquant capable d'envoyer des requêtes au point de terminaison de gestion peut spécifier des destinations malveillantes. Au lieu de récupérer une archive de modèle autorisée depuis un compartiment de stockage de confiance, le serveur peut être commandé pour émettre des requêtes HTTP internes vers d'autres machines sur le réseau privé ou vers des points de terminaison de gestion cloud link-local.

La fiche de VulDB indique que la faille s'applique à toutes les versions de Multi Model Server jusqu'à la version 1.1.11 incluse. La base de données enregistre la découverte comme un risque actif de Server-Side Request Forgery (SSRF), établissant que la menace découle du fait que le serveur agit comme un proxy non prévu pour des appels réseau sortants.

## Why it matters

La découverte de CVE-2026-115813 met en lumière des risques architecturaux persistants à l'intersection du cloud computing d'entreprise et des opérations d'intelligence artificielle. Les plateformes de service d'inférence représentent des carrefours critiques dans les environnements informatiques modernes : elles s'exécutent fréquemment à l'intérieur de sous-réseaux privés, s'interfacent avec des bases de données backend sensibles et disposent d'un accès réseau étendu pour faciliter une communication à faible latence avec d'autres microservices. Lorsqu'un framework d'inférence souffre d'une vulnérabilité SSRF, l'hypothèse traditionnelle de défense du périmètre réseau s'effondre.

Dans les environnements cloud tels qu'AWS, les vulnérabilités SSRF représentent une menace opérationnelle aiguë. Si un attaquant peut forcer un serveur hébergé dans le cloud à effectuer des requêtes HTTP arbitraires, la cible principale est souvent le service de métadonnées d'instance. Sur l'infrastructure AWS, ce service a historiquement été accessible à l'adresse IP link-local 169.254.169.254. L'interrogation de cette adresse permet à une application de consulter les propriétés de l'instance et, fait crucial, d'obtenir des identifiants de sécurité temporaires associés au rôle Identity and Access Management (IAM) de l'hôte. Si une faille SSRF autorise un accès non autorisé à ce point de terminaison, un attaquant peut extraire des jetons de sécurité et s'approprier les privilèges de l'hôte cloud sous-jacent, permettant ainsi un accès non autorisé aux données à l'échelle de l'empreinte cloud plus large de l'entreprise.

Au-delà des risques liés aux identifiants cloud, les failles SSRF permettent à des acteurs malveillants d'effectuer des analyses de ports internes et de cartographier des intranets d'entreprise qui sont entièrement masqués d'Internet. Les organisations qui déploient des frameworks de machine learning automatisent souvent leurs pipelines de déploiement de modèles via des systèmes d'intégration continue et de déploiement continu (CI/CD). Si ces flux de travail automatisés interagissent avec une instance de Multi Model Server non corrigée, des utilisateurs non autorisés pourraient exploiter le processus d'enregistrement de modèles pour orchestrer des mouvements latéraux, accéder à des interfaces de programmation d'applications (API) internes non protégées ou altérer des données opérationnelles propriétaires.

## The background

AWS Labs a lancé Multi Model Server en 2018 en tant qu'outil open source de service d'inférence prêt pour la production, conçu pour répondre aux défis opérationnels liés au déploiement de modèles de deep learning à grande échelle. Conçu principalement autour d'Apache MXNet et élargi plus tard pour prendre en charge PyTorch et le format Open Neural Network Exchange (ONNX), Multi Model Server a été conçu pour héberger simultanément plusieurs modèles sur un pool partagé d'unités de traitement graphique (GPU) et d'unités centrales de traitement (CPU). En chargeant dynamiquement les modèles en mémoire et en adaptant les threads de traitement en fonction du trafic d'inférence entrant, la plateforme a considérablement réduit les coûts de calcul et les frais opérationnels pour les équipes d'IA d'entreprise.

Au fur et à mesure de l'évolution de l'écosystème du machine learning, l'architecture fondamentale de Multi Model Server a gagné une traction considérable dans l'industrie. En 2020, AWS s'est associé à l'équipe PyTorch de Facebook (désormais Meta) pour lancer TorchServe, un moteur d'inférence d'entreprise directement bâti sur le code source et les principes architecturaux établis par Multi Model Server. Par conséquent, les choix de conception architecturale et les modèles de traitement des entrées introduits dans Multi Model Server ont influencé plusieurs générations de frameworks de service de machine learning au sein de la communauté open source.

Le Server-Side Request Forgery est reconnu depuis longtemps comme une préoccupation majeure en matière de sécurité logicielle, bénéficiant d'une catégorie autonome dans le classement Top 10 de l'Open Web Application Security Project (OWASP) des risques de sécurité des applications web. L'industrie du cloud dans son ensemble a expérimenté le potentiel catastrophique du SSRF lors de la violation de données de Capital One en 2019, au cours de laquelle un attaquant a exploité une vulnérabilité SSRF dans un pare-feu d'application web mal configuré pour interroger le service de métadonnées AWS, compromettre des identifiants administratifs et exfiltrer des données appartenant à plus de 100 millions d'individus.

À la suite de cet incident, AWS a introduit l'Instance Metadata Service Version 2 (IMDSv2) en novembre 2019. Contrairement à son prédécesseur, IMDSv2 exige des appelants qu'ils initient une session et récupèrent un jeton de session cryptographique à l'aide d'une requête HTTP PUT avant d'extraire des métadonnées, une conception spécifiquement destinée à contrecarrer les exploits SSRF simples qui reposent sur des requêtes HTTP GET standard. Cependant, l'adoption d'IMDSv2 demeure facultative ou incomplète dans de nombreux environnements hérités, laissant les systèmes vulnérables aux attaques SSRF si des applications individuelles ne parviennent pas à assainir les requêtes réseau externes.

## Reaction

À la suite de la publication de la fiche par VulDB, aucune déclaration publique officielle d'Amazon Web Services ou des mainteneurs du référentiel open source n'a encore été formellement liée dans le registre du catalogue. Dans les processus habituels de divulgation de vulnérabilités, les mainteneurs de logiciels évaluent les entrées CVE publiées par le biais du programme Common Vulnerabilities and Exposures, qui est supervisé par la MITRE Corporation aux côtés des CVE Numbering Authorities autorisées.

Au sein des environnements cloud d'entreprise, les équipes de cybersécurité surveillent régulièrement des bases de données telles que VulDB et la National Vulnerability Database (NVD), gérée par le National Institute of Standards and Technology (NIST), afin d'évaluer les menaces émergentes pesant sur leurs inventaires logiciels. Étant donné que Multi Model Server est un projet open source hébergé sur GitHub, la correction s'effectue généralement par le biais de pull requests soumises par les mainteneurs ou les contributeurs de la communauté, accompagnées d'étiquettes de version mises à jour et de documentation de publication.

Les ingénieurs en sécurité suivant la divulgation doivent évaluer si leurs clusters d'inférence internes exposent les points de terminaison de gestion de Multi Model Server à des réseaux publics ou à des sous-réseaux internes non fiables. Les directives standard de renforcement émanant des organismes de sécurité cloud recommandent universellement d'isoler les API d'administration sur le port 8081 ou le port 8444, d'appliquer des listes de contrôle d'accès réseau (NACL) de sortie strictes pour bloquer les connexions sortantes vers des plages d'adresses IP arbitraires, et d'imposer IMDSv2 sur toutes les machines virtuelles EC2 sous-jacentes.

## What we don't know yet

Plusieurs détails techniques concernant CVE-2026-115813 demeurent non confirmés dans le rapport initial de VulDB. L'avis initial ne fournit pas de vecteur ni de score de base finalisés selon le Common Vulnerability Scoring System (CVSS), laissant indéterminée la mesure mathématique normalisée de sa gravité et de son exploitabilité. De plus, l'entrée ne précise pas si la vulnérabilité nécessite une authentification administrative active pour être déclenchée, ou si elle peut être exploitée par un acteur distant non authentifié lorsque les ports de gestion sont accessibles.

Il n'est pas non plus précisé d'après la divulgation disponible si un correctif officiel a été publié dans une version ultérieure au-delà de la version 1.1.11, ou si une solution de contournement temporaire existe pour les organisations incapables de mettre à niveau immédiatement leurs clusters d'inférence. Enfin, l'avis n'indique pas si CVE-2026-115813 a été observé comme étant activement exploité dans la nature, pas plus qu'il n'identifie le chercheur en sécurité ou l'organisation crédité(e) pour avoir signalé la faille aux mainteneurs.

## What to watch

Les organisations gérant des infrastructures d'inférence de machine learning doivent suivre plusieurs étapes à venir pour déterminer leur niveau d'exposition et leur calendrier de remédiation :

- L'analyse formelle et l'évaluation de la gravité par la National Vulnerability Database, qui attribuera un score normalisé CVSS v3.1 ou v4.0 détaillant le vecteur d'attaque, la complexité et les privilèges requis. - Les notes de version officielles et les commits sur le référentiel GitHub AWS Labs Multi Model Server, qui indiqueront si une version de correctif dédiée — telle que la version 1.1.12 — a été mise à disposition pour résoudre la faille du chemin de téléchargement. - Les bulletins de sécurité d'Amazon Web Services détaillant d'éventuelles implications en aval pour les services gérés, les images de conteneurs ou les frameworks dérivés, y compris les déploiements TorchServe susceptibles d'hériter de modèles de code de Multi Model Server. - Les audits administratifs réalisés par les opérateurs cloud pour confirmer que l'Instance Metadata Service Version 2 est strictement appliqué sur toutes les instances de machines virtuelles exécutant des charges de travail de service de modèles, rendant l'extraction d'identifiants link-local nettement plus difficile en cas d'attaque SSRF.

Ce rapport est basé sur des renseignements sur les vulnérabilités publiés par VulDB.