🇰🇷 한글 설명
Amazon Web Services Multi Model Server 1.1.11 이하 버전에서 모델 아카이브 압축 해제 과정의 상대 경로 순회(Path Traversal) 취약점이 존재합니다. 원격 공격자가 조작된 모델 아카이브를 통해 임의 코드를 실행할 수 있습니다. 해당 제품은 지원이 종료되었으며 수정 버전이 제공되지 않습니다.
💡 쉬운 설명
모델 파일의 압축을 풀 때 경로 검증이 부족해 악성 파일이 시스템의 임의 위치에 저장될 수 있습니다. 이를 이용하면 공격자가 서버에서 원하는 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to execute arbitrary code via a crafted model archive.
Multi Model Server is end of life and no fixed version is available. Users should discontinue use of Multi Model Server and migrate to a supported model serving solution.
📍 영향받는 시스템
AWS Multi Model Server 1.1.11 이하 전 버전 (지원 종료, 수정 버전 없음)
⚔️ 공격 벡터
조작된 모델 아카이브 파일을 서버에 업로드하여 상대 경로(../)로 임의 위치에 파일을 쓰고 코드를 실행
🛡️ 대응 방법
Multi Model Server 사용을 즉시 중단하고 지원되는 모델 서빙 솔루션(예: TorchServe 후속 또는 TensorFlow Serving 등)으로 마이그레이션
🔧 검증 코드
출력된 Version 값이 1.1.11 이하이면 취약한 버전이므로 즉시 사용 중단 및 마이그레이션이 필요하며, 아무 출력이 없으면 설치되어 있지 않은 것입니다.
pip show multi-model-server 2>/dev/null | grep -i version