Falha no AWS Multi Model Server expõe infraestrutura de inferência a falsificação de requisição

Uma vulnerabilidade de falsificação de requisição do lado do servidor (SSRF) foi identificada no framework de código aberto Multi Model Server da Amazon Web Services, afetando implantações que executam a versão 1.1.11 e anteriores. De acordo com informações de inteligência sobre vulnerabilidades publicadas pela base de dados de cibersegurança VulDB, a falha de segurança é rastreada sob o identificador CVE-2026-115813. O defeito reside diretamente no caminho de download de modelos do software, uma rotina interna responsável por buscar artefatos de modelos de aprendizado de máquina em locais remotos. Quando manipuladas, essas vulnerabilidades podem permitir que agentes não autorizados forcem um servidor de aplicação a iniciar requisições de rede para destinos externos não pretendidos ou para infraestruturas internas sensíveis, expondo redes privadas a reconhecimento e coleta de credenciais.

## Key facts

- A vulnerabilidade está catalogada como CVE-2026-115813 e afeta as versões do Amazon Web Services Multi Model Server até a versão 1.1.11. - O defeito de segurança é classificado como uma falha de falsificação de requisição do lado do servidor localizada especificamente no caminho de download de modelos do framework. - A divulgação foi registrada pela plataforma de monitoramento de vulnerabilidades VulDB em 23 de outubro de 2026. - O Multi Model Server é um framework de código aberto desenvolvido para servir modelos de deep learning para inferência em múltiplos mecanismos de computação. - A exploração de falsificação de requisição do lado do servidor normalmente permite que invasores contornem perímetros de rede, consultem serviços internos de metadados na nuvem e interajam com sub-redes privadas.

## What happened

A vulnerabilidade catalogada como CVE-2026-115813 surgiu a partir de uma avaliação do Amazon Web Services (AWS) Multi Model Server, uma ferramenta de código aberto desenvolvida pela AWS Labs para gerenciar a inferência de modelos de aprendizado de máquina. De acordo com informações da VulDB, a falha compromete especificamente o componente do software responsável por baixar pacotes de modelos no servidor host.

Sob condições operacionais normais, o Multi Model Server expõe interfaces de gerenciamento que permitem a engenheiros de sistemas e pipelines automatizados registrar, configurar e dimensionar modelos de aprendizado de máquina dinamicamente. Quando um novo modelo é introduzido no sistema, o operador fornece um endereço — normalmente um Identificador Uniforme de Recursos (URI) ou URL — indicando onde o arquivo do modelo empacotado está armazenado. O software do servidor processa essa entrada, estabelece uma conexão de rede de saída e baixa os arquivos necessários em seu cache local antes de inicializar os processos de execução (workers) do modelo.

Em implantações afetadas pela CVE-2026-115813, a validação de entrada que rege essa rotina de download é insuficiente. Como o servidor não restringe com rigor os protocolos, intervalos de endereços IP ou nomes de host que aceita durante a fase de recuperação, um invasor capaz de enviar requisições ao endpoint de gerenciamento pode especificar destinos maliciosos. Em vez de buscar um arquivo de modelo autorizado a partir de um bucket de armazenamento confiável, o servidor pode ser induzido a emitir requisições HTTP internas para outras máquinas na rede privada ou para endpoints de gerenciamento de nuvem link-local.

O registro da VulDB observa que a falha se aplica a todas as versões do Multi Model Server até a versão 1.1.11, inclusive. O banco de dados registra a descoberta como um risco ativo de server-side request forgery (SSRF), estabelecendo que a ameaça decorre do fato de o servidor atuar como um proxy não intencional para chamadas de rede de saída.

## Why it matters

A descoberta da CVE-2026-115813 destaca riscos arquiteturais persistentes na interseção entre a computação em nuvem corporativa e as operações de inteligência artificial. As plataformas de inferência representam entroncamentos críticos em ambientes modernos de TI: elas frequentemente operam em sub-redes privadas, comunicam-se com bancos de dados confidenciais de backend e possuem amplo acesso de rede para viabilizar comunicação de baixa latência com outros microsserviços. Quando um framework de inferência sofre de uma vulnerabilidade de SSRF, a premissa tradicional de defesa de perímetro de rede desmorona.

Em ambientes de nuvem como a AWS, vulnerabilidades de SSRF representam uma ameaça operacional crítica. Se um invasor puder forçar um servidor hospedado na nuvem a fazer requisições HTTP arbitrárias, o principal alvo costuma ser o serviço de metadados da instância. Na infraestrutura da AWS, esse serviço historicamente tem sido acessível no endereço IP link-local 169.254.169.254. Consultar esse endereço permite que uma aplicação visualize propriedades da instância e, fundamentalmente, obtenha credenciais de segurança temporárias associadas à função de Identity and Access Management (IAM) do host. Se uma falha de SSRF permitir o acesso não autorizado a esse endpoint, um invasor poderá extrair tokens de segurança e assumir os privilégios do host subjacente na nuvem, permitindo o acesso não autorizado a dados em toda a infraestrutura em nuvem corporativa.

Além dos riscos a credenciais de nuvem, falhas de SSRF permitem que agentes maliciosos realizem varreduras internas de portas e mapeiem intranets corporativas totalmente ocultas da internet pública. Organizações que implantam frameworks de aprendizado de máquina frequentemente automatizam seus pipelines de implantação de modelos por meio de sistemas de integração contínua e entrega contínua (CI/CD). Se esses fluxos de trabalho automatizados interagirem com uma instância não corrigida do Multi Model Server, usuários não autorizados poderão explorar o processo de registro de modelos para realizar movimentação lateral, acessar interfaces de programação de aplicações (APIs) internas desprotegidas ou adulterar dados operacionais proprietários.

## The background

A AWS Labs introduziu o Multi Model Server pela primeira vez em 2018 como uma ferramenta de código aberto para inferência pronta para produção, projetada para lidar com os desafios operacionais de implantar modelos de deep learning em escala. Construído primordialmente em torno do Apache MXNet e posteriormente expandido para suportar PyTorch e o formato Open Neural Network Exchange (ONNX), o Multi Model Server foi desenvolvido para hospedar múltiplos modelos simultaneamente em um pool compartilhado de unidades de processamento gráfico (GPUs) e unidades centrais de processamento (CPUs). Ao carregar modelos dinamicamente na memória e dimensionar threads de execução com base no tráfego de inferência recebido, a plataforma reduziu significativamente os custos computacionais e a sobrecarga operacional de equipes de IA corporativa.

À medida que o ecossistema de aprendizado de máquina evoluiu, a arquitetura fundamental do Multi Model Server ganhou ampla tração na indústria. Em 2020, a AWS fez uma parceria com a equipe do PyTorch no Facebook (atual Meta) para lançar o TorchServe, um mecanismo corporativo de inferência construído diretamente sobre o código principal e os princípios arquiteturais estabelecidos pelo Multi Model Server. Consequentemente, escolhas de design arquitetural e padrões de tratamento de entrada introduzidos no Multi Model Server influenciaram várias gerações de frameworks de inferência de aprendizado de máquina em toda a comunidade de código aberto.

A falsificação de requisição do lado do servidor é reconhecida há muito tempo como uma das principais preocupações de segurança de software, conquistando uma categoria própria na lista OWASP Top 10 de riscos de segurança em aplicações web da Open Web Application Security Project. O setor de computação em nuvem como um todo vivenciou o potencial catastrófico do SSRF durante a violação de dados da Capital One em 2019, quando um invasor explorou uma vulnerabilidade de SSRF em um firewall de aplicações web mal configurado para consultar o serviço de metadados da AWS, comprometer credenciais administrativas e exfiltrar registros pertencentes a mais de 100 milhões de indivíduos.

Após esse incidente, a AWS lançou o Instance Metadata Service Version 2 (IMDSv2) em novembro de 2019. Diferentemente de seu antecessor, o IMDSv2 exige que os solicitantes iniciem uma sessão e obtenham um token de sessão criptográfico usando uma requisição HTTP PUT antes de buscar metadados — um design especificamente planejado para frustrar explorações simples de SSRF que dependem de requisições HTTP GET padrão. No entanto, a adoção do IMDSv2 permanece opcional ou incompleta em muitos ambientes legados, deixando sistemas vulneráveis a ataques de SSRF caso aplicações individuais não sanitizem requisições de rede externas.

## Reaction

Após a publicação do registro pela VulDB, comunicados públicos oficiais da Amazon Web Services ou dos mantenedores do repositório de código aberto ainda não foram formalmente vinculados ao registro do catálogo. Em fluxos típicos de divulgação de vulnerabilidades, mantenedores de software avaliam entradas de CVE divulgadas por meio do programa Common Vulnerabilities and Exposures, supervisionado pela MITRE Corporation em conjunto com CVE Numbering Authorities autorizadas.

Em ambientes de nuvem corporativos, equipes de cibersegurança monitoram rotineiramente bancos de dados como a VulDB e a National Vulnerability Database (NVD), operada pelo National Institute of Standards and Technology (NIST), para avaliar ameaças emergentes em seus inventários de software. Como o Multi Model Server é um projeto de código aberto hospedado no GitHub, a correção geralmente ocorre por meio de pull requests submetidos por mantenedores ou colaboradores da comunidade, acompanhados de tags de versão atualizadas e documentação de lançamento.

Espera-se que engenheiros de segurança que acompanham a divulgação avaliem se seus clusters internos de inferência expõem endpoints de gerenciamento do Multi Model Server a redes públicas ou sub-redes internas não confiáveis. As orientações padrão de blindagem (hardening) de órgãos de segurança em nuvem recomendam universalmente isolar APIs administrativas na porta 8081 ou porta 8444, aplicar listas rigorosas de controle de acesso de rede (NACLs) de saída para bloquear conexões de saída para intervalos arbitrários de IPs e exigir o IMDSv2 em todas as máquinas virtuais EC2 subjacentes.

## What we don't know yet

Vários detalhes técnicos a respeito da CVE-2026-115813 permanecem não confirmados no relatório inicial da VulDB. O comunicado preliminar não fornece um vetor ou pontuação-base definitiva do Common Vulnerability Scoring System (CVSS), deixando indeterminada a medição matemática padronizada de sua gravidade e facilidade de exploração. Além disso, o registro não especifica se a vulnerabilidade exige autenticação administrativa ativa para ser acionada ou se pode ser explorada por um agente remoto não autenticado quando as portas de gerenciamento estão acessíveis.

Também não está claro, a partir da divulgação disponível, se uma correção oficial já foi publicada em uma versão posterior à 1.1.11, ou se existe uma solução alternativa temporária para organizações incapazes de atualizar imediatamente seus clusters de inferência. Por fim, o comunicado não indica se a CVE-2026-115813 foi observada sendo explorada ativamente em ambiente real, nem identifica o pesquisador de segurança ou a organização à qual se atribui a notificação da falha aos mantenedores.

## What to watch

Organizações que gerenciam infraestruturas de inferência de aprendizado de máquina devem acompanhar vários marcos futuros para determinar sua exposição e cronograma de remediação:

- Análise formal e pontuação de gravidade pela National Vulnerability Database, que atribuirá uma pontuação padronizada no CVSS v3.1 ou v4.0 detalhando o vetor de ataque, a complexidade e os privilégios necessários. - Notas de lançamento e commits oficiais no repositório do Multi Model Server da AWS Labs no GitHub, que indicarão se uma versão de correção dedicada — como a versão 1.1.12 — foi disponibilizada para solucionar a falha no caminho de download. - Boletins de segurança da Amazon Web Services detalhando quaisquer possíveis implicações secundárias para serviços gerenciados, imagens de contêiner ou frameworks derivados, incluindo implantações do TorchServe que possam herdar padrões de código do Multi Model Server. - Auditorias administrativas por operadores de nuvem para confirmar que o Instance Metadata Service Version 2 está sendo exigido de forma estrita em todas as instâncias de máquinas virtuais que executam cargas de trabalho de inferência de modelos, tornando a extração de credenciais link-local significativamente mais difícil no caso de um ataque de SSRF.

Este relatório é baseado em informações de inteligência sobre vulnerabilidades publicadas pela VulDB.