Multi Model Server に任意コード実行の弱点、修正版なし
Summary
AWS の機械学習モデル配信ツール Multi Model Server 1.1.11 以前に、細工されたモデルアーカイブを読み込ませるだけで外部から任意のコードを実行されるおそれのある弱点が見つかりました。この製品はサポートが終了しており、修正版は出ません。利用中の組織は、外部公開の有無を確認して接続を絞り、サポート対象の配信基盤への移行を計画してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
AWS の機械学習モデル配信ツール Multi Model Server 1.1.11 以前に、細工されたモデルアーカイブを読み込ませるだけで外部から任意のコードを実行されるおそれのある弱点が見つかりました。この製品はサポートが終了しており、修正版は出ません。利用中の組織は、外部公開の有無を確認して接続を絞り、サポート対象の配信基盤への移行を計画してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| AWS | multi-model-server |
≤ 1.1.11 |
— |
Original description The description as published by the source.
Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to execute arbitrary code via a crafted model archive.
Multi Model Server is end of life and no fixed version is available. Users should discontinue use of Multi Model Server and migrate to a supported model serving solution.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- AWS aws.amazon.com
- web aws.amazon.com
- web nvd.nist.gov
- web aws.amazon.com
- web github.com