Уязвимость в AWS Multi Model Server подвергает инфраструктуру инференса риску подделки запросов

В опенсорсном фреймворке Multi Model Server от Amazon Web Services была выявлена уязвимость подделки запросов на стороне сервера (SSRF), затрагивающая развертывания версии 1.1.11 и более ранних. Согласно данным об угрозах, опубликованным базой данных по кибербезопасности VulDB, эта брешь в системе безопасности отслеживается под идентификатором CVE-2026-115813. Дефект кроется непосредственно в механизме загрузки моделей программного обеспечения — внутренней подпрограмме, отвечающей за получение артефактов моделей машинного обучения из удаленных расположений. При манипулировании подобные уязвимости могут позволить злоумышленникам принудительно заставить сервер приложений инициировать сетевые запросы к непредусмотренным внешним адресатам или критически важной внутренней инфраструктуре, подвергая частные сети риску разведки и перехвата учетных данных.

## Key facts

- Уязвимость зарегистрирована под идентификатором CVE-2026-115813 и затрагивает релизы Amazon Web Services Multi Model Server вплоть до версии 1.1.11. - Дефект безопасности классифицирован как уязвимость подделки запросов на стороне сервера, расположенная непосредственно в механизме загрузки моделей фреймворка. - Информация об уязвимости была зарегистрирована платформой мониторинга уязвимостей VulDB 23 октября 2026 года. - Multi Model Server — это опенсорсный фреймворк, разработанный для обслуживания инференса моделей глубокого обучения на различных вычислительных движках. - Эксплуатация уязвимостей подделки запросов на стороне сервера обычно позволяет злоумышленникам обходить сетевые периметры, опрашивать внутренние службы метаданных облака и взаимодействовать с частными подсетями.

## What happened

Уязвимость под идентификатором CVE-2026-115813 была обнаружена в ходе анализа Amazon Web Services (AWS) Multi Model Server — инструмента с открытым исходным кодом, разработанного AWS Labs для управления инференсом моделей машинного обучения. Согласно сообщениям VulDB, уязвимость непосредственно нарушает безопасность компонента программного обеспечения, отвечающего за загрузку пакетов моделей на хост-сервер.

В штатных условиях эксплуатации Multi Model Server предоставляет интерфейсы управления, которые позволяют системным инженерам и автоматизированным пайплайнам динамически регистрировать, настраивать и масштабировать модели машинного обучения. При внедрении новой модели в систему оператор указывает адрес — обычно Uniform Resource Identifier (URI) или URL, — указывающий на место хранения упакованного архива модели. Затем серверное ПО обрабатывает этот ввод, устанавливает исходящее сетевое соединение и загружает необходимые файлы в локальный кэш перед инициализацией рабочих процессов модели.

В развертываниях, затронутых CVE-2026-115813, валидация входных данных, управляющая этой процедурой загрузки, является недостаточной. Поскольку сервер строго не ограничивает протоколы, диапазоны IP-адресов или имена хостов, принимаемые на этапе получения данных, злоумышленник, способный отправлять запросы к конечной точке управления, может указывать вредоносные адресаты. Вместо загрузки авторизованного архива моделей из доверенного хранилища серверу можно дать команду отправлять внутренние HTTP-запросы к другим машинам в частной сети или к конечным точкам управления облаком типа link-local.

В записи VulDB отмечается, что уязвимость распространяется на все релизы Multi Model Server вплоть до версии 1.1.11 включительно. База данных регистрирует находку как активный риск подделки запросов на стороне сервера (SSRF), констатируя, что угроза исходит от того, что сервер выступает в качестве непреднамеренного прокси для исходящих сетевых вызовов.

## Why it matters

Обнаружение CVE-2026-115813 подчеркивает сохраняющиеся архитектурные риски на стыке корпоративных облачных вычислений и операций с искусственным интеллектом. Платформы обслуживания инференса представляют собой критически важные узлы в современной ИТ-среде: они часто работают внутри частных подсетей, взаимодействуют с конфиденциальными базами данных бэкенда и обладают широким сетевым доступом для обеспечения низколатентной связи с другими микросервисами. Когда фреймворк инференса страдает от уязвимости SSRF, традиционная концепция защиты сетевого периметра рушится.

В облачных средах, таких как AWS, уязвимости SSRF представляют острую операционную угрозу. Если злоумышленник может заставить размещенный в облаке сервер выполнять произвольные HTTP-запросы, основной целью часто становится служба метаданных инстанса. В инфраструктуре AWS к этой службе исторически можно было получить доступ по link-local IP-адресу 169.254.169.254. Запрос к этому адресу позволяет приложению просматривать свойства инстанса и, что особенно важно, получать временные учетные данные безопасности, связанные с ролью хоста в Identity and Access Management (IAM). Если уязвимость SSRF предоставляет несанкционированный доступ к этой конечной точке, злоумышленник может извлечь токены безопасности и перехватить привилегии базового облачного хоста, получив несанкционированный доступ к данным во всей корпоративной облачной инфраструктуре.

Помимо рисков, связанных с облачными учетными данными, уязвимости SSRF позволяют злоумышленникам проводить сканирование внутренних портов и составлять карты корпоративных интрасетей, полностью скрытых от публичного интернета. Организации, развертывающие фреймворки машинного обучения, часто автоматизируют свои пайплайны развертывания моделей через системы непрерывной интеграции и непрерывного развертывания (CI/CD). Если эти автоматизированные рабочие процессы взаимодействуют с непропатченным инстансом Multi Model Server, неавторизованные пользователи могут использовать процесс регистрации моделей для организации горизонтального перемещения, доступа к незащищенным внутренним интерфейсам прикладного программирования (API) или вмешательства в проприетарные операционные данные.

## The background

AWS Labs впервые представила Multi Model Server в 2018 году как готовый к использованию в продакшене инструмент обслуживания инференса с открытым исходным кодом, призванный решить операционные задачи масштабного развертывания моделей глубокого обучения. Созданный преимущественно вокруг Apache MXNet и впоследствии расширенный для поддержки PyTorch и формата Open Neural Network Exchange (ONNX), Multi Model Server был спроектирован для одновременного размещения нескольких моделей на общем пуле графических (GPU) и центральных (CPU) процессоров. За счет динамической загрузки моделей в память и масштабирования рабочих потоков в зависимости от входящего трафика инференса платформа существенно снизила вычислительные затраты и эксплуатационные расходы корпоративных команд в сфере ИИ.

По мере развития экосистемы машинного обучения базовая архитектура Multi Model Server получила широкое распространение в отрасли. В 2020 году AWS в партнерстве с командой PyTorch из Facebook (ныне Meta) выпустила TorchServe — корпоративный движок инференса, созданный непосредственно на базе основного кода и архитектурных принципов, заложенных Multi Model Server. Следовательно, архитектурные решения и паттерны обработки входных данных, внедренные в Multi Model Server, повлияли на несколько поколений фреймворков обслуживания машинного обучения во всем сообществе разработчиков открытого ПО.

Подделка запросов на стороне сервера уже давно признана одной из первостепенных угроз безопасности программного обеспечения, получив отдельную категорию в списке рисков безопасности веб-приложений Open Web Application Security Project (OWASP) Top 10. Облачная индустрия в целом столкнулась с катастрофическим потенциалом SSRF во время утечки данных в Capital One в 2019 году, когда злоумышленник использовал уязвимость SSRF в неправильно настроенном межсетевом экране веб-приложений для отправки запросов к службе метаданных AWS, компрометации административных учетных данных и хищения записей, принадлежащих более чем 100 миллионам человек.

После этого инцидента в ноябре 2019 года AWS представила Instance Metadata Service Version 2 (IMDSv2). В отличие от своей предшественницы, IMDSv2 требует от вызывающей стороны инициализировать сессию и получить криптографический токен сессии с помощью HTTP-запроса PUT перед извлечением метаданных — дизайн, специально направленный на пресечение простых эксплойтов SSRF, основанных на стандартных HTTP-запросах GET. Однако внедрение IMDSv2 остается необязательным или неполным во многих устаревших средах, что оставляет системы уязвимыми для атак SSRF, если отдельные приложения не выполняют санитизацию внешних сетевых запросов.

## Reaction

После публикации записи VulDB официальные публичные заявления от Amazon Web Services или мейнтейнеров опенсорсного репозитория пока не были официально привязаны к записи в каталоге. В стандартных процессах раскрытия уязвимостей разработчики ПО оценивают опубликованные записи CVE в рамках программы Common Vulnerabilities and Exposures, которую курирует корпорация MITRE совместно с уполномоченными центрами CVE Numbering Authorities.

В корпоративных облачных средах команды по кибербезопасности регулярно отслеживают такие базы данных, как VulDB и National Vulnerability Database (NVD), поддерживаемую National Institute of Standards and Technology (NIST), для оценки возникающих угроз в отношении используемого ими программного обеспечения. Поскольку Multi Model Server является проектом с открытым исходным кодом, размещенным на GitHub, исправление обычно осуществляется через pull request'ы, отправляемые мейнтейнерами или участниками сообщества, с приложением обновленных тегов версий и документации к релизу.

Ожидается, что инженеры по безопасности, следящие за раскрытием информации, оценят, открывают ли их внутренние кластеры инференса доступ к конечным точкам управления Multi Model Server для публичных сетей или недоверенных внутренних подсетей. Стандартные рекомендации по усилению безопасности от организаций в сфере облачной безопасности единодушно рекомендуют изолировать административные API на портах 8081 или 8444, применять строгие списки контроля доступа к исходящему сетевому трафику (NACL) для блокировки исходящих соединений к произвольным диапазонам IP-адресов и требовать обязательного использования IMDSv2 на всех базовых виртуальных машинах EC2.

## What we don't know yet

Ряд технических подробностей относительно CVE-2026-115813 остается неподтвержденным в первоначальном отчете VulDB. В первом уведомлении не приводится окончательный вектор или базовая оценка по Common Vulnerability Scoring System (CVSS), из-за чего стандартизированная математическая мера ее опасности и возможности эксплуатации пока не определена. Кроме того, в записи не уточняется, требует ли уязвимость активной административной аутентификации для срабатывания или же она может быть проэксплуатирована неаутентифицированным удаленным лицом при наличии доступа к портам управления.

Из доступной информации также неясно, был ли выпущен официальный патч в последующем релизе после версии 1.1.11 или существует ли временное обходное решение для организаций, не имеющих возможности немедленно обновить свои кластеры инференса. Наконец, в бюллетене не указано, наблюдались ли случаи активной эксплуатации CVE-2026-115813 в реальных условиях, и не называется исследователь в области безопасности или организация, уведомившие мейнтейнеров об уязвимости.

## What to watch

Организациям, управляющим инфраструктурой инференса машинного обучения, следует отслеживать несколько предстоящих этапов для определения степени риска и сроков устранения уязвимости:

- Официальный анализ и оценка серьезности от National Vulnerability Database, которая присвоит стандартизированный балл по CVSS v3.1 или v4.0 с подробным описанием вектора атаки, сложности и требуемых привилегий. - Официальные примечания к выпуску и коммиты в репозитории AWS Labs Multi Model Server на GitHub, которые укажут, был ли выпущен специальный патч-релиз — например, версия 1.1.12 — для устранения ошибки в механизме загрузки. - Бюллетени безопасности от Amazon Web Services с подробным описанием любых потенциальных последствий для управляемых сервисов, контейнерных образов или производных фреймворков, включая развертывания TorchServe, которые могут наследовать паттерны кода из Multi Model Server. - Административные проверки облачными операторами для подтверждения строгого применения Instance Metadata Service Version 2 на всех инстансах виртуальных машин, выполняющих задачи обслуживания моделей, что значительно затрудняет извлечение учетных данных через link-local адреса в случае SSRF-атаки.

Этот отчет основан на данных об уязвимостях, опубликованных VulDB.