Во всех версиях AWS Multi Model Server найдены уязвимости; исправлений не будет Кого затрагивает: Все версии AWS Multi Model Server: ≤1.1.11. Риск выше при сетевом доступе к management.

AWS подтвердила: CVE-2026-115812 — запись из архива вне каталога распаковки, потенциально выполнение кода с правами MMS; CVE-2026-115813 — запросы к непредусмотренным адресам при загрузке моделей. Management не требует аутентификации. MMS снят с поддержки, исправлений не будет.

AWS рекомендует миграцию. До неё: при разных портах — management на loopback и запрет внешних URL загрузки. В SageMaker-подобной конфигурации порт общий: loopback отключит загрузку моделей; доступ к порту — только доверенным клиентам. Форкам нужны проверка путей архива и allowlist URL.

management cannot be moved to loopback there without also disabling model loading.

Источники: AWS Security Bulletins · AWS Security Bulletins · AWS Security Bulletins Читать полный обзор

Подпишись на @DeusOps