AWS, CVSS 9.8 puanlı Multi Model Server açığını yamalamayacak; yönetim API'sinde kimlik doğrulama yok

AWS iki açık ifşa etti ama yama yok

23 Ekim 2026'da AWS, makine öğrenimi modellerini servis etmek için kullandığı açık kaynak araç Multi Model Server'daki (MMS) iki güvenlik açığını kapsayan 2026-148-AWS numaralı güvenlik bültenini yayımladı. dev.to'daki bir yazıya göre 1.1.11 dahil olmak üzere yayımlanmış tüm sürümler etkileniyor ve bülten, hiçbir dağıtım kanalı için yamalı bir sürüm planlanmadığını belirtiyor.

Daha ciddi olan sorun olan CVE-2026-115812, dev.to'nun atıf yaptığı Strix'in CVE kaydında CVSS 3.1'de 9.8 ve CVSS 4.0'da 9.3 puan almış durumda. AWS bunu, model arşivi çıkarma işlemi sırasında ortaya çıkan bir path traversal hatası olarak tanımlıyor: kötü niyetle hazırlanmış bir arşiv, dosyaları hedeflenen dizinin dışına yerleştirebiliyor ve MMS sürecinin ayrıcalıkları altında kod çalıştırma potansiyeli taşıyor. Strix bunu CWE-23 olarak sınıflandırıyor.

İkinci sorun olan CVE-2026-115813 ise yönetim arayüzünün istenmeyen ağ hedeflerine yönlendirilmesine izin veriyor — fiilen model indirme yolunda bir server-side request forgery durumu. CVSS 3.1'de 5.8 puan alıyor.

Kimlik doğrulaması olmayan bir yönetim API'si

İki hatayı da ciddileştiren şey bültendeki bir ayrıntı: MMS yönetim arayüzü kimlik doğrulaması olmadan geliyor. Ağdan erişilebilir bir adrese bağlanan her dağıtım artmış risk altında, çünkü o porta erişebilen herkes sunucuya bir model yüklemesi için talimat verebiliyor.

Varsayılanlar görece güvenli — dev.to, çıkarım (inference) servisinin 127.0.0.1:8080'de, yönetim arayüzünün ise 127.0.0.1:8081'de dinlediğini ve kutudan çıktığı haliyle erişimin yalnızca localhost ile sınırlı olduğunu belirtiyor. Ancak yönetim API'si, yüklenen modelleri listeleyen düz bir GET /models uç noktasını ve yeni bir model kaydetmek için HTTP(S) URL'si kabul eden POST /models?url= uç noktasını ortaya koyuyor. Kayıt işlemi, MMS'nin bir arşivi indirip açtığı — yani bu CVE'lerin hedef aldığı iki işlemin — tam olarak gerçekleştiği yer.

Yazının yayımlandığı tarihe kadar herkese açık bir proof of concept indekslenmiş değil ve açık, TheHackerWire ve Strix'e göre CISA'nın Known Exploited Vulnerabilities kataloğunda yer almıyor. AWS, bildirimleri eşgüdümlü güvenlik açığı ifşasına (coordinated vulnerability disclosure) bağlıyor.

Ömrü sona erdi ama hâlâ yaygın şekilde gömülü durumda

1.1.12 gelmeyecek. MMS GitHub deposu 20 Kasım 2025'te arşivlendi ve salt okunur; ancak paket PyPI'dan multi-model-server adıyla kurulmaya devam ediyor ve Docker Hub'da da yayımlanıyor.

Araç ayrıca, adını hiç anmayan yığınların bir katman altında konumlanıyor. SageMaker Inference Toolkit'in README'si, servis yığınının Multi Model Server üzerine inşa edildiğini belirtiyor ve kurulum talimatları iki paketi birlikte çekiyor. O depo da aynı gün arşivlendi. Toolkit'ten özel çıkarım container'ları oluşturan ekipler bu yüzden MMS'yi farkında olmadan çalıştırıyor olabilir.

Operatörler neler yapabilir

AWS'nin önerisi, MMS kullanmayı bırakmak ve desteklenen bir servis çözümüne geçmek. Geçici bir önlem olarak bülten, yönetim arayüzünü loopback'e bağlamayı ve model indirme yolunda harici URL'lerden kaçınmayı öneriyor.

Bir pürüz var: SageMaker tarzı yapılandırmada yönetim arayüzü, servis portunu paylaşır ve tüm adreslerde dinler; dolayısıyla loopback'e taşımak model yüklemeyi tamamen bozar. Bu tür dağıtımlar için AWS, geçişe öncelik verilmesini ve bu arada servis portunun yalnızca güvenilen çağırıcılara kısıtlanmasını öneriyor — yani yalnızca modeli gerçekten çağıran hizmetlere izin veren bir security group ya da network policy.

Kendi fork'larını sürdüren ekipler için bülten somut yönergeler sunuyor: çözümlenmiş yolu çıkarma dizininin dışına düşen arşiv girdilerini reddetmek ve model indirmelerini açık bir URL allowlist'i ile sınırlamak. dev.io — pardon, dev.to — ilk kuralı uygulayan standart zip-slip korumasının kısa bir Python örneğini veriyor.

Yazıdaki pratik tespit adımları arasında depolarda multi-model-server, sagemaker-inference ve MMS_CONFIG_FILE terimlerini aramak, container'ların içinde pip show multi-model-server çalıştırmak, config.properties dosyasındaki inference_address ve management_address değerlerini kontrol etmek ve erişimi olmaması gereken bir makineden GET /models uç noktasını yoklamak yer alıyor. Herhangi bir yanıt gelmesi, bir saldırganın da aynı görünümü elde edeceği anlamına geliyor.

Neden önemli

AI altyapısında ömrün sonu böyle görünüyor: servis aracında kritik ve kolayca erişilebilir bir kod çalıştırma yolu, ama hiçbir zaman gelmeyecek bir vendor yaması. MMS, nadiren kimsenin haberdar olduğu uzun ömürlü çıkarım container'larında çalışıyor ve kimlik doğrulaması olmayan yönetim API'si, tek bir açık portun yeterli olabileceği anlamına geliyor. Hemen geçiş yapamayacak operatörler en azından yönetim arayüzünün nerede dinlediğini doğrulamalı ve kilitlemeli — çünkü bu durumda hafifletme, gelecek tek çözüm.