دو آسیب‌پذیری جدید با شناسه‌های CVE-2026-115812 و CVE-2026-115813 در سرویس Amazon Web Services Multi Model Server (MMS) شناسایی شده است. این ابزار که یک پروژه متن‌باز (Open Source) برای سرویس‌دهی مدل‌های یادگیری ماشین (Machine Learning) جهت استنتاج (Inference) است، از تاریخ ۲۰ نوامبر ۲۰۲۵ به وضعیت End of Life (EOL) رسیده و دیگر پشتیبانی نمی‌شود.
جزئیات آسیب‌پذیری
مشکل اصلی شناسایی شده در هر دو مورد، عدم وجود مکانیزم احراز هویت (Authentication) در رابط مدیریتی (Management Interface) سرویس MMS است. در صورت پیکربندی سرویس به‌گونه‌ای که این رابط در دسترس شبکه باشد، ریسک نفوذ و سوءاستفاده به شدت افزایش می‌یابد.
چالش عدم ارائه وصله امنیتی
از آنجایی که پروژه MMS به پایان چرخه عمر خود رسیده است، هیچ نسخه اصلاح‌شده یا وصله امنیتی (Patch) برای رفع این نقص برنامه‌ریزی نشده است. تمامی نسخه‌های منتشر شده (تا نسخه 1.1.11) تحت تأثیر این آسیب‌پذیری هستند.
توصیه‌های امنیتی و راهکارهای موقت
- مهاجرت فوری: توصیه اکید می‌شود کاربران بلافاصله از استفاده از MMS دست کشیده و به یک راهکار پشتیبانی‌شده برای سرویس‌دهی مدل‌ها مهاجرت کنند.
- محدودسازی دسترسی: در صورتی که رابط استنتاج (Inference) و رابط مدیریتی روی پورت‌های مجزا هستند، رابط مدیریتی باید تنها به آدرس Loopback متصل شود تا از دسترس شبکه‌های غیرقابل اعتماد خارج گردد.
- کنترل مسیرها: برای کسانی که از کدهای Fork شده استفاده می‌کنند، باید از ورود هرگونه ورودی که مسیرهای خارج از دایرکتوری استخراج (Extraction Directory) را هدف قرار می‌دهد، جلوگیری شده و مسیرهای دانلود مدل تنها به یک لیست سفید (Allowlist) از URLهای مجاز محدود شود.
- پیکربندی‌های خاص: در پیکربندی‌هایی مانند SageMaker که رابط مدیریتی و استنتاج روی یک پورت مشترک هستند، تنها راه مقابله، محدود کردن دسترسی به پورت سرویس برای فراخوان‌های مورد اعتماد (Trusted Callers) است.
