🇰🇷 한글 설명
Amazon Web Services Multi Model Server 1.1.11 이하 버전의 모델 다운로드 경로에서 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 공격자가 조작된 모델 URL을 통해 내부 네트워크 대상으로 요청을 보낼 수 있습니다. 해당 제품은 지원이 종료되었으며 수정 버전이 제공되지 않습니다.
💡 쉬운 설명
모델 서버가 사용자가 입력한 주소로 요청을 보내는 과정에서 악용될 수 있는 결함입니다. 공격자는 이를 이용해 외부에서는 접근할 수 없는 내부 시스템의 정보를 빼내거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Server-side request forgery in the model download path in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to send requests to internal network destinations via a crafted model URL.
Multi Model Server is end of life and no fixed version is available. Users should discontinue use of Multi Model Server and migrate to a supported model serving solution.
📍 영향받는 시스템
Amazon Web Services Multi Model Server 1.1.11 이하 버전 (지원 종료, 패치 없음)
⚔️ 공격 벡터
공격자가 악성 모델 다운로드 URL을 제출하여 서버가 내부 네트워크 주소로 요청을 보내도록 유도
🛡️ 대응 방법
Multi Model Server 사용을 중단하고 지원되는 모델 서빙 솔루션으로 마이그레이션
🔧 검증 코드
출력된 Version 값이 1.1.11 이하이면 취약한 버전이며, 출력이 없으면 해당 패키지가 설치되어 있지 않은 것입니다.
pip show multi-model-server 2>/dev/null | grep -i version