亞馬遜AI伺服器高危漏洞無解 AWS建議用戶儘速轉移 - OwlNews

圖／本報資料庫商傳媒｜何映辰／台北報導雲端服務巨頭AWS（AmazonWebServices）近日證實，旗下人工智慧（AI）模型伺服器工具AWSMultiModelServer存在一項高風險漏洞，但卻表示不會提供修補程式，建議用戶儘速轉移至其他支援的服務。這個編號為CVE-2026-115812的漏洞，依據常見嚴重性評分標準，被資安機構評定為高達9.8分（滿分10分）的嚴重程度。據《Wion》報導，該漏洞是一種路徑遍歷（path-traversal）錯誤，發生在伺服器解壓縮模型檔案時。這代表惡意的壓縮檔可能被用於在指定資料夾以外的位置寫入檔案，讓攻擊者有機會以伺服器的權限執行任意程式碼，構成嚴重的資安威脅。更令人擔憂的是，AWSMultiModelServer的管理介面在預設情況下不需任何身份驗證。這表示一旦有部署將該介面暴露於網路上，就可能成為駭客攻擊的目標。所有已發布的AWSMultiModelServer版本（包括1.1.11及更早版本）都受到此漏洞影響。然而，AWS已明確指出AWSMultiModelServer產品生命週期已結束（endoflife），且自2025年底起，該專案的原始碼已封存並設定為唯讀，因此不會有任何修補程式釋出。AWS官方的建議是，所有仍在運行此工具的用戶，都應立即遷移到受支援的模型服務解決方案，並在遷移完成前，務必將其管理介面從任何可觸及的網路中移除。雖然資安研究人員表示目前尚未發現此漏洞被實際利用的案例，但一個已知、無法修補且評級極高的漏洞，若其實例暴露在網路上，長期來看仍存在極大的被攻擊風險。對台灣的科技產業專業人士與人工智慧模型開發者而言，此事件凸顯了大型科技公司在產品生命週期管理與資安決策上的挑戰。企業在採用AI工具時，除了考量其功能與效能，更應將開發商的長期支援與資安更新納入評估關鍵。