AWS、深刻度9.8のモデル配信ツール脆弱性を修正せず

アマゾン ウェブ サービス(AWS)は2026年10月23日(米国時間)、サポートを終了したオープンソースのモデル配信ツール「Multi Model Server(MMS)」で見つかった脆弱性2件を修正しないとセキュリティ情報で明らかにした。うち1件は深刻度が10点満点中9.8点である。AWSは利用をやめ、サポート中の別ツールへ移行するよう求めている。

AWSは10月20日から23日までの4日間に、AI・エージェント関連ツールのセキュリティ情報5件(脆弱性6件)を公表した。修正版が出ないのはMMSだけだ。

ポイント

• CVE-2026-115812は細工したモデルのアーカイブでコード実行につながり得る。CVSS 3.1のスコアは9.8である。
• MMSはサポートが終了し、リポジトリも2025年11月20日からアーカイブ(読み取り専用)状態のため、AWSは修正版を「どの配布チャネルでも提供する予定はない」としている。
• 同じ期間に、Strands Agents SDK、SageMaker Python SDK、AWS MCPサーバー、Kiro Crewの脆弱性は修正された。

MMSの脆弱性、何が問題か

AWSによると、MMSのモデル管理インターフェースには認証がなく、ネットワークから到達できるアドレスで公開している場合にリスクが高まる。1件目のCVE-2026-115812はアーカイブ展開時のパストラバーサルで、MMSのプロセス権限でコードが実行される恐れがある。

2件目のCVE-2026-115813はモデルのダウンロード経路にあり、管理インターフェースが「意図しないネットワーク宛先へリクエストを送るよう誘導され得る」問題だ。1.1.11以前の全バージョンが対象となる。報告者はSujal Tuladhar氏である。

SageMaker形式の構成では回避策も使えない

AWSが示す回避策は、管理インターフェースをループバックアドレスに限定し、ダウンロード経路に外部URLを渡さないことだ。ただ、SageMaker形式のデプロイ向けに提供された設定は、管理機能を推論と同じポートの全アドレスにバインドしており、モデルの読み込みを無効にしない限りこの回避策は使えないという。

AWSはこうした構成では移行を優先し、当面は配信ポートへのアクセスを信頼できる呼び出し元に限るよう求めた。マネージドサービスのAmazon SageMaker自体が影響を受けるとの記述はなく、移行先も特定していない。

サポート終了後も月18万件超のダウンロード

PyPI Statsで10月26日に確認したところ、multi-model-serverパッケージは直近1カ月にPython Package Index(PyPI)から18万2969回ダウンロードされていた。自動ビルドやミラーを含む数字のため、実際に稼働するサーバー数より多い。

4日間でAWSのAIツール関連セキュリティ情報5件

修正済みの中で目を引くのはSageMaker SDKの件だ。default_bucket()が名前を推測できるS3バケットの所有者を確認しておらず、第三者が先にそのバケットを作ればSageMaker環境でコードを実行し、IAM認証情報を得られる可能性があったとAWSは説明している。

今後の見通し

MMSの利用者は移行先を自ら選ぶ必要がある。フォークして使う場合、AWSは展開先フォルダの外を指すアーカイブ項目を拒否し、ダウンロードURLを許可リストで制限するよう勧めている。ほかのツールの利用者は表の修正版に更新すればよい。

よくある質問

Amazon SageMakerも影響を受けるのか。

AWSはマネージドサービスが影響を受けるとはしていない。ただし、SageMaker形式の設定でMMSを自ら運用している場合は回避策が使えないため、移行を優先すべきだとしている。

MMSの修正版は出るのか。

出ない。セキュリティ情報は、MMSのサポートが終了しており修正版の提供予定もないとしている。

参考資料

• CVE-2026-115812 and CVE-2026-115813: Issue in Amazon Web Services Multi Model Server — AWS(2026年10月23日)
• CVE-2026-112408 - Missing bucket ownership verification in Amazon SageMaker Python SDK default_bucket() — AWS(2026年10月21日)
• CVE-2026-115419 - Unintended disclosure of data element to wrong session in Strands Agents SDK A2A Server — AWS(2026年10月22日)
• CVE-2026-115845 - Incomplete validation in the run_script Python sandbox in AWS MCP Server — AWS(2026年10月23日)
• CVE-2026-112380 - Missing authorization in the WhatsApp channel in Kiro Crew — AWS(2026年10月20日)
• multi-model-server recent downloads — PyPI Stats(2026年10月26日確認)
• CVE-2026-115812: multi-model-server Vulnerability (CVSS 9.8) — Strix