TheNote
AWS Latest Bulletins 한국어 노트
GooglePlay AppStore

AWS Latest Bulletins 한국어

지정된 웹 페이지는 AWS에서 제공하는 보안 공지 사항을 다루는 웹 페이지입니다. 최신 보안 공지 및 업데이트에 대한 정보 전달의 신뢰할 수 있는 출처 중 하나입니다. 공지 사항은 주로 보안 고지, 밴드 패치 및 기타 제품 보안 업데이트에 대해 다룹니다. 이러한 공지 사항은 사용자가 최신 보안 고려 사항을 쉽게 최신 상태로 유지할 수 있도록 하여, 인프라가 안전하고 준수할 수 있도록 합니다.
Latest Bulletins aws.amazon.com
RSS aws.amazon.com
AWS Latest Bulletins 한국어 RSS thenote.app
RSS Hunter RSS Hunter • 2024년 8월 23일

노트 스레드

CVE-2026-119115 - AWS Private CA Connector for Kubernetes의 issuer resolution에서 잘못된 권한 부여

Bulletin ID: 2026-156-AWS 게시일: 2026년 10월 29일 오전 9시 30분 PDT설명:발급자 해석 로직의 잘못된 권한 부여 문제인 CVE-2026-119115를 인지하고 있습니다. 영향을 받는 버전에서는 특정 조건 하에 네임스페이스 범위 발급자만 승인하는 승인 정책을 가진 인증된 사용자가 사용 권한이 없는 클러스터 범위 발급자가 서명한 하위 CA 인증서를 포함한 인증서를 얻을 수 있습니다.영향을 받는 버전: - v1.10.1 이전의 aws-privateca-issuer - v1.10.1-eksbuild.1 이전의 AWS Private CA Connector for Kubernetes EKS add-on이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.이 기사 읽기
CVE-2026-119115 - Incorrect authorization in issuer resolution in AWS Private CA Connector for Kubernetes aws.amazon.com
RSS Hunter RSS Hunter • 어제

CVE-2026-111497: 네이티브 브로틀리 디코더 원격 코드 실행 및 메모리 노출

Bulletin ID: 2026-155-AWS 게시일: 2026년 10월 28일 15:00 PDT설명:AWS는 네이티브 Brotli 압축 해제 라이브러리의 CVE-2026-111497 문제를 인지하고 있으며, 이 문제는 제3자가 영향을 받는 애플리케이션에서 코드를 실행하거나 프로세스 메모리를 읽을 수 있도록 허용할 수 있습니다. AWS Lambda, AWS Amplify, AWS App Runner, Amazon CloudWatch Synthetics, AWS CodeBuild, AWS Elastic Beanstalk 및 AWS Elemental MediaLive에서 이 문제를 해결하고 있습니다. 일부 서비스는 고객 조치가 필요합니다. 자세한 내용은 게시물을 참조하십시오.이 기사 읽기
CVE-2026-111497: Native Brotli Decoder Remote Code Execution and Memory Disclosure aws.amazon.com
RSS Hunter RSS Hunter • 10월 28일

CVE-2026-115415 - Strands Agents Tools의 환경 도구에서 비밀 마스킹 우회

게시판 ID: 2026-154-AWS 발행일: 2026년 10월 28일 오후 12:30 PDT 설명: 우리는 CVE-2026-115415를 확인했는데, 이는 환경 도구가 대형 언어 모델(LLM)에서 도구 스키마를 통해 마스크 매개변수를 받아들이는 문제였습니다. 에이전트가 처리하도록 요청받은 콘텐츠를 통해 전달되는 맞춤형 프롬프트는 모델이 마스킹을 끄고 도구를 호출하도록 지시할 수 있습니다. 그 후 도구는 운영자에게 동의를 요청하지 않고도 클라우드 자격 증명과 API 키를 포함한 에이전트 호스트의 환경 변수를 명확히 반환했습니다. 영향을 받은 버전: >= 0.1.0 및 < 0.8.6 이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다. 이 기사를 읽어보세요
CVE-2026-115415 - Secret masking bypass in the environment tool in Strands Agents Tools aws.amazon.com
RSS Hunter RSS Hunter • 10월 28일

CVE-2026-118029 - AWS SDK for pandas의 기본 Athena 쿼리 결과 위치에 대한 미확인 소유권

Bulletin ID: 2026-153-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 발행일: 2026년 10월 28일 오전 8시 30분 PDT설명:AWS SDK for pandas (awswrangler)는 Amazon Athena, Amazon S3, AWS Glue와 같은 AWS 데이터 서비스와 pandas를 통합하는 오픈 소스 Python 라이브러리입니다. Athena 모듈에서 CVE-2026-118029를 확인했으며, 기본 쿼리 결과 위치의 소유권이 확인되지 않은 경우 원격 사용자가 Athena 쿼리 결과를 읽고 미리 생성된 S3 버킷을 통해 호출자에게 반환되는 결과 세트를 조작할 수 있습니다.영향받는 버전: awswrangler < 3.16.1이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.이 기사 읽기
CVE-2026-118029 - Unverified ownership of the default Athena query result location in AWS SDK for pandas aws.amazon.com
RSS Hunter RSS Hunter • 10월 28일

CVE-2026-115413 - AWS API MCP 서버 OAuth 토큰 대상 검증 우회

게시판 ID: 2026-152-AWS 범위: AWS 콘텐츠 유형: 중요(주의 필요) 발행일: 2026년 10월 27일 오전 11:00 PDT 설명: AWS API MCP 서버는 오픈 소스 모델 컨텍스트 프로토콜(MCP) 서버로, AI 어시스턴트가 AWS CLI 명령어를 통해 AWS 서비스 및 자원과 상호작용할 수 있도록 합니다. Streamable-http 전송을 OAuth 인증으로 제공하도록 구성할 수 있으며, 운영자가 지정한 신원 제공자와 대조하여 베어러 토큰을 검증합니다. 우리는 >=1.3.0과 <1.6.0 버전에서 CVE-2026-115413을 확인했으며, 서버는 토큰의 서명, 발행자, 만료일은 검증하지만, 토큰이 발급된 애플리케이션을 식별하는 클레임은 확인하지 않습니다. 영향을 받는 버전: >=1.3.0 및 <1.6.0 이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다. 이 기사를 읽어보세요
CVE-2026-115413 - AWS API MCP Server OAuth token audience validation bypass aws.amazon.com
RSS Hunter RSS Hunter • 10월 27일

CVE-2026-115418 - Amazon Web Services(AWS)의 데이터베이스 쿼리 사용자 정의 리소스 핸들러에서의 SQL 인젝션

Bulletin ID: 2026-151-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 발행일: 2026년 10월 26일 오전 9시 30분 PDT설명:AWS Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha 모듈은 Amazon Redshift 사용자, 테이블 및 권한을 관리하는 실험적인 컨스트럭트를 제공합니다. 저희는 CVE-2026-115418을 식별했습니다. 이 문제는 이러한 컨스트럭트에서 설정된 사용자 이름, 주석 또는 암호를 조작하여 배포 시 Amazon Redshift 슈퍼유저 권한으로 실행되는 SQL을 변경할 수 있으며, 여기에는 모든 클러스터 사용자에게 액세스 권한을 부여하는 것이 포함됩니다. 이 문제를 악용하려면 CDK 애플리케이션의 컨스트럭트 속성 값에 영향을 미칠 수 있어야 합니다.영향받는 버전: <2.274.0-alpha.0이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.이 기사 읽기
CVE-2026-115418 - SQL injection in the database-query custom resource handlers in Amazon Web Services (AWS) aws.amazon.com
RSS Hunter RSS Hunter • 10월 26일

CVE-2026-111943: AWS 신뢰 번들에 포함된 eMudhra 중간 CA 키 복구

Bulletin ID: 2026-150-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 게시 날짜: 2026년 10월 24일 오후 8:00 PDT요약:AWS는 외부 CA인 eMudhra/emSign의 키 생성 결함인 CVE-2026-111943을 식별했으며, 이로 인해 중간 CA 개인 키가 복구 가능하게 되었습니다. AAA Certificate Services, emSign Root TLS CA - G3, emSign ECC Root CA - G3의 세 가지 루트가 영향을 받습니다. 이들은 AWS 소유의 신뢰 번들에 포함되어 있어, 소프트 실패 TLS 클라이언트를 중간자 공격 위험에 노출시켰습니다. AWS는 해당 루트를 제거하고 있습니다. CloudFront 사용자 지정 원본 또는 ALB OIDC/JWT 인증을 사용하는 고객은 인증서가 영향을 받는 루트에 체인되는지 확인하고, 시행 전에 다른 CA에서 재발급해야 합니다.이 AWS 보안 공지 관련 최신 정보 및 전체 정보는 아래 기사를 참조하십시오.이 기사 읽기
CVE-2026-111943: eMudhra intermediate CA key recovery in AWS trust bundles aws.amazon.com
RSS Hunter RSS Hunter • 10월 25일

CVE-2026-115845 - AWS MCP Server의 run_script Python sandbox에서 불완전한 검증

Bulletin ID: 2026-149-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 발행일: 2026년 10월 23일 오후 12:00 PDT설명:AWS MCP Server는 AI 에이전트가 Model Context Protocol(MCP)을 통해 AWS에 액세스할 수 있도록 하는 관리형 서버로, 샌드박스 환경에서 Python 스크립트를 실행하는 run_script 도구를 포함합니다.AWS MCP Server의 run_script 도구에 있는 Python 코드 검증기의 문제인 CVE-2026-115845를 확인했습니다. 허용되지 않는 입력의 불완전한 목록으로 인해 인증된 원격 사용자가 조작된 스크립트를 통해 자체 격리된 세션 환경 내에서 임의의 코드를 실행할 수 있습니다.영향을 받는 버전: 해당 없음 (관리형 서비스, 전용 호스팅)이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.이 기사 읽기
CVE-2026-115845 - Incomplete validation in the run_script Python sandbox in AWS MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 10월 23일

CVE-2026-115812 및 CVE-2026-115813: Amazon Web Services Multi Model Server의 문제

Amazon Web Services Multi Model Server (MMS), 머신러닝 모델 서빙 도구가 지원 종료되었습니다. MMS의 소스 저장소는 2025년 11월 20일부로 아카이브되어 읽기 전용으로 전환되었습니다. MMS에서 두 가지 치명적인 취약점이 발견되었습니다. 첫 번째 취약점인 CVE-2026-115812는 조작된 모델 아카이브가 지정된 디렉토리 외부로 파일을 쓸 수 있도록 허용합니다. 이는 잠재적으로 MMS 프로세스의 권한으로 코드 실행을 초래할 수 있습니다. 두 번째 취약점인 CVE-2026-115813은 MMS 내의 모델 다운로드 경로에 영향을 미칩니다. 이 결함은 관리 인터페이스가 의도하지 않은 네트워크 대상으로 요청을 지시하도록 할 수 있습니다. 버전 1.1.11을 포함한 모든 MMS 릴리스 버전이 이러한 문제의 영향을 받습니다. 사용자들은 가장 최신의 포괄적인 세부 정보를 위해 연결된 기사를 참조하는 것이 강력히 권장됩니다. 발견된 취약점의 심각성으로 인해 이 공지는 즉각적인 주의가 필요합니다.
CVE-2026-115812 and CVE-2026-115813: Issue in Amazon Web Services Multi Model Server aws.amazon.com
RSS Hunter RSS Hunter • 10월 23일

CVE-2026-115417 - aws-c-mqtt의 MQTT 3.1.1 호환 어댑터에서 과도한 크기 값으로 인한 메모리 할당

게시판 ID: 2026-147-AWS 범위: AWS 내용 유형: 중요(주의 필요) 발행일: 2026년 10월 22일 오후 13:30 PDT 설명: AWS-C-MQTT는 MQTT 3.1.1 및 MQTT5 사양의 C99 구현체로, AWS Common Runtime(CRT)의 일부로 배포되고 AWS IoT Device SDK for C++ v2에 번들로 포함되어 있습니다. 우리는 라이브러리의 MQTT 3.1.1 호환 어댑터에서 과도한 크기 값(CWE-789)의 메모리 할당 CVE-2026-115417을 확인했습니다. 특정 조건에서는 원격 행위자가 클라이언트 프로세스의 서비스 거부(Doirial of Service)를 일으킬 수 있습니다. 영향을 받은 버전: >= 0.9.1 및 < 0.16.2 이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다. 이 기사를 읽어보세요
CVE-2026-115417 - Memory allocation with excessive size value in the MQTT 3.1.1 compatibility adapter in aws-c-mqtt aws.amazon.com
RSS Hunter RSS Hunter • 10월 22일

CVE-2026-115419 - Strands Agents SDK A2A 서버에서 잘못된 세션으로 데이터 요소가 의도치 않게 노출됨

AI 에이전트 구축을 위한 오픈 소스 SDK인 Strands Agents에서 보안 취약점 CVE-2026-115419가 확인되었습니다. 이 문제는 Agent2Agent(A2A) 서버 구성 요소 내에 있으며, 사용자 간의 대화 상태를 제대로 격리하지 못합니다. 이 결함으로 인해 인증된 원격 공격자는 멀티테넌트 환경에서 다른 사용자의 대화 기록에 액세스하거나 모델 동작을 변경할 수 있습니다. Strands Agents(Python) 및 @strands-agents/sdk(TypeScript) 사용자는 이 위험을 완화하기 위해 각각 버전 1.43.0 및 1.5.0 이상으로 업데이트해야 합니다.
CVE-2026-115419 - Unintended disclosure of data element to wrong session in Strands Agents SDK A2A Server aws.amazon.com
RSS Hunter RSS Hunter • 10월 22일

CVE-2026-115414 - SAM CLI Terraform Hook의 OS 명령 주입 취약점

게시판 ID: 2026-145-AWS 범위: AWS 콘텐츠 유형: 중요(주의 필요) 발행일: 2026년 10월 22일 오전 11:30 PDT 설명: AWS SAM CLI는 서버리스 애플리케이션을 구축하기 위한 오픈소스 프레임워크입니다. 우리는 AWS SAM CLI의 Terraform 훅(sam build --hook-name terraform)에서 OS 명령어 주입 문제인 CVE-2026-115414를 확인했습니다. Terraform 훅은 셸 메타캐릭터를 완전히 중화하지 않고 Terraform 자원 주소를 보간하는 Makefile 레시피를 생성하여, 빌드가 사용하는 Terraform 구성이나 계획 파일에 영향을 줄 수 있는 행위자가 빌드를 실행하는 호스트의 빌드 사용자로서 임의의 명령을 실행할 수 있게 할 수 있습니다. 영향을 받은 버전: >=1.63.0, <=1.166.1 이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다. 이 기사를 읽어보세요
CVE-2026-115414 - OS Command Injection Issue in SAM CLI Terraform Hook aws.amazon.com
RSS Hunter RSS Hunter • 10월 22일

CVE-2026-115416 - Amazon Athena 엔진 버전 3 쿼리 처리에서의 잘못된 권한 부여 검사

Bulletin ID: 2026-144-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 발행일: 2026년 10월 22일 오전 9시 30분 PDT설명:Amazon Athena는 표준 SQL을 사용하여 Amazon S3의 데이터를 분석할 수 있는 대화형 쿼리 서비스입니다. Amazon Athena 엔진 버전 3 쿼리 처리에서 잘못된 권한 확인으로 인해 인증된 사용자가 다른 AWS 계정의 AWS 계정 식별자와 SQL 문 텍스트 쿼리 메타데이터를 읽을 수 있었던 CVE-2026-115416 문제를 확인했습니다. 이 문제를 통해 쿼리 결과 및 Amazon S3 또는 기타 데이터 소스에 저장된 데이터에 액세스할 수는 없었습니다.영향받는 버전: Amazon Athena 엔진 버전 3이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.이 기사 읽기
CVE-2026-115416 - Incorrect authorization checks in Amazon Athena engine version 3 query processing aws.amazon.com
RSS Hunter RSS Hunter • 10월 22일

PHP 웹 런타임 (CVE-2026-109618 및 CVE-2026-109619)

Bulletin ID: 2026-143-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 게시 날짜: 2026년 10월 21일 오후 2:30 PDT요약:PHP의 두 가지 치명적인 취약점(CVE-2026-109618 및 CVE-2026-109619)은 인증되지 않은 원격 공격자가 영향을 받는 PHP 워커에서 코드를 실행하거나, 프로세스 접근 가능한 데이터에 접근하거나, 서비스 거부를 유발할 수 있도록 합니다. 영향을 받는 PHP 버전(수정된 릴리스 이전의 8.2–8.5 및 지원 종료된 5.4–8.1)을 실행 중인 고객은 즉시 패치된 릴리스(8.5.12, 8.4.27, 8.3.36 또는 8.2.35)로 업그레이드해야 합니다. 구성 변경만으로는 완전한 완화가 되지 않습니다. AWS는 영향을 받는 PHP 버전을 실행하는 제한된 수의 서비스를 식별했으며, 완화 조치 및 업데이트를 적극적으로 배포하고 있습니다. 서비스별 상태, 완화 지침 및 AWS WAF 보상 제어에 대한 전체 게시물을 검토하십시오.이 AWS 보안 게시물과 관련된 최신 정보 및 전체 정보는 아래 기사를 참조하십시오.이 기사 읽기
PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) aws.amazon.com
RSS Hunter RSS Hunter • 10월 21일

CVE-2026-112408 - Amazon SageMaker Python SDK default_bucket()의 누락된 버킷 소유권 확인

AWS는 Amazon SageMaker Python SDK에 대한 중요한 보안 공지를 발표했습니다. default_bucket() 함수에서 CVE-2026-112408 취약점이 발견되었습니다. 이 결함은 특정 S3 버킷을 먼저 생성한 원격 공격자가 SageMaker 환경 내에서 코드 실행 및 IAM 자격 증명을 잠재적으로 얻을 수 있도록 합니다. 영향을 받는 SDK 버전은 V2 2.257.3 이전 버전 및 V3 3.0.0부터 3.10.0 직전 버전까지입니다.
CVE-2026-112408 - Missing bucket ownership verification in Amazon SageMaker Python SDK default_bucket() aws.amazon.com
RSS Hunter RSS Hunter • 10월 21일

CVE-2026-112407 - AWS CICD-toolchain-for-serverless-applications의 잘못된 권한 할당

Bulletin ID: 2026-141-AWS범위: AWS콘텐츠 유형: 중요 (주의 필요)게시 날짜: 2026년 10월 20일 오후 1시 30분 PDT설명:CICD-toolchain-for-serverless-applications는 AWS Serverless Application Repository를 통해 서버리스 애플리케이션을 위한 CI/CD 파이프라인을 프로비저닝하는 AWS 샘플 애플리케이션입니다. 저희는 AWS CICD-toolchain-for-serverless-applications 1.0.11 이전 버전의 IAM 정책에서 잘못된 권한 할당인 CVE-2026-112407을 식별했습니다. 이 취약점은 애플리케이션 소스 리포지토리에 푸시 액세스 권한이 있는 원격 인증 사용자가 권한을 에스컬레이션하여 동일한 AWS 계정 내에서 도구체인 파이프라인에 의해 배포된 애플리케이션 템플릿을 통해 애플리케이션 스택 외부의 리소스에 액세스하거나 수정할 수 있도록 합니다.영향받는 버전: =1.0.7 AND <=1.0.10이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.기사 읽기
CVE-2026-112407 - Incorrect privilege assignment in AWS CICD-toolchain-for-serverless-applications aws.amazon.com
RSS Hunter RSS Hunter • 10월 20일

CVE-2026-112380 - Kiro Crew의 WhatsApp 채널에서 권한 누락

Kiro Crew, 오픈 소스 개인 AI 에이전트에 관한 중요한 AWS 보안 공지가 발표되었습니다. 이 공지는 권한 부여 취약점인 CVE-2026-112380을 강조합니다. 이 문제는 특히 WhatsApp 채널과 내부 서브에이전트 실행 제어 엔드포인트에 영향을 미칩니다. 특정 구성에서는 승인된 WhatsApp 그룹의 멤버가 다른 세션의 서브에이전트에 지시를 보낼 수 있습니다. 그러면 이 서브에이전트는 해당 지시를 운영자의 컴퓨터에서 실행합니다. 감사 추적은 이 작업을 발신자가 아닌 운영자에게 잘못 귀속시킵니다. Kiro Crew의 기본 구성은 이 취약점의 영향을 받지 않습니다. 이는 WhatsApp 그룹 및 직접 메시지 정책에 대한 기본 설정이 무단 액세스를 방지하기 때문입니다. 이 취약점은 Kiro Crew 버전 0.4.0부터 0.7.2 미만까지 영향을 미칩니다. 사용자는 완전하고 업데이트된 정보를 위해 연결된 기사를 참조하는 것이 좋습니다.
CVE-2026-112380 - Missing authorization in the WhatsApp channel in Kiro Crew aws.amazon.com
RSS Hunter RSS Hunter • 10월 20일

CVE-2026-102551 & CVE-2026-102552 - FreeRTOS-Plus-TCP 관련 문제

AWS는 임베디드 장치를 위한 오픈 소스 TCP/IP 스택인 FreeRTOS-Plus-TCP에 관한 중요한 보안 공지를 발표했습니다. 두 개의 치명적인 취약점인 CVE-2026-102551과 CVE-2026-102552가 확인되었습니다. CVE-2026-102551은 IPv6 라우터 광고 핸들러에 영향을 미치며, 원격 공격자가 엔드포인트의 IPv6 구성을 조작할 수 있도록 합니다. 이는 장치의 IPv6 트래픽 가로채기로 이어질 수 있습니다. 이 취약점은 IPv6 및 라우터 광고가 활성화된 경우 존재합니다. CVE-2026-102552는 DNS 리졸버에 영향을 미치며, 원격 공격자가 장치의 DNS 캐시에 악성 항목을 삽입할 수 있도록 합니다. 이는 영향을 받는 도메인 이름으로 연결이 리디렉션될 수 있습니다. 두 취약점 모두 V4.4.1 이하 버전의 FreeRTOS-Plus-TCP에 영향을 미칩니다. 사용자는 패치된 버전으로 업데이트하는 것이 강력히 권장됩니다. 자세한 내용과 최신 정보는 링크된 기사에서 확인할 수 있습니다.
CVE-2026-102551 & CVE-2026-102552 - Issue with FreeRTOS-Plus-TCP aws.amazon.com
RSS Hunter RSS Hunter • 10월 16일

CVE-2026-109587 & CVE-2026-109588 - FreeRTOS-Kernel 관련 문제

AWS는 마이크로컨트롤러용 실시간 운영체제 커널인 FreeRTOS-Kernel에 관한 중요한 공지를 발표합니다. FreeRTOS-Kernel의 Arm Cortex-R82 MPU 포트 내에서 두 가지 취약점이 확인되었습니다. 첫 번째, CVE-2026-109587은 권한 없는 태스크가 권한 있는 커널 메모리에 접근할 수 있는 잘못된 권한 부여와 관련이 있습니다. 이는 MPU 시스템 호출에 버퍼 인수를 전달할 때 발생하며, 정의된 메모리 영역을 우회합니다. 두 번째 취약점, CVE-2026-109588은 버퍼 권한 부여 검사에서의 숫자 잘림과 관련이 있습니다. MPU가 활성화된 빌드에서 스트림 버퍼 시스템 호출은 버퍼 길이 검증이 불충분합니다. 이는 권한 없는 태스크가 의도된 버퍼를 넘어 권한 있는 커널 메모리를 읽거나 쓸 수 있도록 허용할 수 있습니다. 두 문제 모두 configENABLE_MPU가 1로 설정된 Arm Cortex-R82 빌드에 영향을 미칩니다. FreeRTOS MPU를 사용하지 않는 애플리케이션은 이러한 취약점의 영향을 받지 않습니다. 두 CVE 모두에 대한 영향받는 버전은 Arm Cortex-R82 MPU 포트의 V11.3.0 및 V11.3.1입니다. 사용자들은 완전한 세부 정보를 위해 추가 자료를 참조하는 것이 좋습니다.
CVE-2026-109587 & CVE-2026-109588 - Issue with FreeRTOS-Kernel aws.amazon.com
RSS Hunter RSS Hunter • 10월 16일

리눅스 커널 virtio-net/TAP 네트워킹 경로의 KVM 기반 하이퍼바이저에 영향을 미치는 문제

Bulletin ID: 2026-137-AWS범위: AWS콘텐츠 유형: 중요 (주의 필요)게시 날짜: 2026년 10월 15일 오전 10:30 PDT설명:AWS는 KVM 기반 하이퍼바이저에서 패치되지 않은 Linux 커널 버전 4.4부터 6.18까지 영향을 미치는 Linux 커널의 virtio-net/TAP 네트워킹 경로(CVE-2026-99999)의 문제를 인지하고 있습니다. 이 문제는 게스트 가상 머신 내에서 특권 액세스 권한을 가진 행위자가 호스트 커널 메모리를 손상시킬 수 있는 특별히 조작된 네트워크 패킷을 전송하여 호스트 메모리 노출 또는 서비스 거부를 초래할 수 있습니다.Amazon EC2 인스턴스, AWS Lambda, AWS Fargate를 포함한 AWS 관리형 컴퓨팅 및 컨테이너 서비스는 영향을 받지 않습니다. 이러한 서비스를 사용하는 고객은 별도의 조치가 필요하지 않습니다.영향을 받는 제품 및 버전:영향을 받는 패치되지 않은 Linux 커널 버전을 실행하는 호스트에서 virtio-net 및 KVM을 사용하여 가상 머신을 자체 관리하는 고객, Firecracker와 같은 가상 머신 모니터를 사용하는 고객 포함.이 AWS 보안 공지 관련 최신 정보 및 전체 정보는 아래 기사를 참조하십시오.
Issue in the Linux kernel virtio-net/TAP networking path affecting KVM-based hypervisors aws.amazon.com
RSS Hunter RSS Hunter • 10월 15일

CVE-2026-110812 - Amazon Neptune의 Gremlin graph-import 경로에서 신뢰할 수 없는 데이터의 역직렬화

Bulletin ID: 2026-136-AWS범위: AWS콘텐츠 유형: 중요 (주의 필요)게시 날짜: 2026년 10월 15일 오전 9시 30분 PDT설명:Amazon Neptune는 완전 관리형 그래프 데이터베이스 서비스입니다. Amazon Neptune에서 사용하는 Gremlin 기능과 관련된 Apache TinkerPop의 문제인 CVE-2026-110812를 확인했습니다. 특정 조건 하에서 Neptune 데이터 플레인(쿼리) 권한이 있는 인증된 주체는 쿼리 엔진이 신뢰할 수 없는 입력을 안전하지 않게 처리하도록 하는 요청을 제출할 수 있으며, 이는 쿼리 엔진 환경 내에서 의도하지 않은 활동으로 이어질 수 있습니다. 이 문제는 아래 나열된 엔진 버전에서 해결되었으며, 고객은 업그레이드하는 것이 좋습니다.영향받는 버전: >=1.2.0.0이 AWS 보안 공지 관련 최신 정보 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-110812 - Deserialization of untrusted data in the Gremlin graph-import path in Amazon Neptune aws.amazon.com
RSS Hunter RSS Hunter • 10월 15일

CVE-2026-110310 - Amazon S3 Encryption Client for .NET의 레거시 봉투 키 형식 다운그레이드를 통한 RSA PKCS#1 v1.5 패딩 오라클

Bulletin ID: 2026-135-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 10/14/2026 12:30 PM PDTDescription:We identified CVE-2026-110310, an issue in Amazon S3 encryption client for .NET that could allow a remote user who can read encrypted objects in the S3 bucket can force a padding downgrade by altering the padding scheme recorded in an object's metadata to legacy PKCS#1 v1.5. Since this padding scheme is susceptible to the Bleichenbacher attack, the user can use a PKCS#1 v1.5 padding oracle to recover the RSA-wrapped envelope key and decrypt the object.Impacted versions: >= 2.1.0; 3.0.0 to 3.2.1; 4.0.0 to 4.0.2Please refer to the article below for the most up-to-date and complete information related to this AWS Security Bulletin.
CVE-2026-110310 - RSA PKCS#1 v1.5 padding oracle via legacy envelope key format downgrade in Amazon S3 Encryption Client for .NET aws.amazon.com
RSS Hunter RSS Hunter • 10월 14일

CVE-2026-110248 - Amazon SageMaker Python SDK의 로그 파일에 민감한 정보 삽입

Bulletin ID: 2026-134-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 10/14/2026 11:30 AM PDTDescription:Amazon SageMaker Python SDK는 Amazon SageMaker에서 머신러닝 모델을 학습시키고 배포하기 위한 오픈 소스 라이브러리입니다.Amazon SageMaker Python SDK의 git_utils.py 구성 요소에서 CVE-2026-110248이라는 문제가 발견되었습니다. Git clone 작업이 실패할 때, 서브프로세스 오류 출력에 있는 리포지토리 자격 증명이 마스킹되지 않은 채 CloudWatch Logs에 기록됩니다. 해당 로그에 접근 권한이 있는 인증된 원격 사용자는 평문 자격 증명을 얻을 수 있습니다.영향을 받는 버전:- Amazon SageMaker Python SDK V2 버전 2.257.3 이전- Amazon SageMaker Python SDK V3 버전 3.10.0 이전이 AWS Security Bulletin과 관련된 최신 정보 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-110248 - Insertion of sensitive information into log files in Amazon SageMaker Python SDK aws.amazon.com
RSS Hunter RSS Hunter • 10월 14일

CVE-2026-108096: AWS Amplify API 카테고리의 SQL 기반 모델에 대한 쿼리 리졸버에서의 부적절한 권한 부여

게시판 ID: 2026-133-AWS범위: AWS콘텐츠 유형: 중요함 (주의 필요)출판일: 2026년 10월 9일 오전 11:00 PDT설명: AWS Amplify API 카테고리는 GraphQL 데이터 모델을 권한 규칙과 함께 AWS AppSync API로 정의하기 위한 CDK 구성 라이브러리입니다. 우리는 CVE-2026-108096을 확인했는데, @aws-amplify/graphql-index-transformer가 생성하는 쿼리 해석기에서 부적절한 권한 부여가 인증된 원격 사용자가 동일한 애플리케이션의 다른 사용자가 소유한 레코드를 읽을 수 있게 할 수 있습니다. 영향을 받은 버전: - @aws-증폭/graphql-index-transformer >=2.2.0, <3.1.2; - @aws-증폭/graphql-api-구성 >=1.4.0, <1.21.4; - @aws-증폭/데이터 구성 < 1.17.4이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-108096: Improper authorization in query resolvers for SQL-backed models in AWS Amplify API Category aws.amazon.com
RSS Hunter RSS Hunter • 10월 9일

CVE-2026-107783 - AWS Tools for PowerShell에서 로그 파일에 민감한 정보 삽입

Bulletin ID: 2026-132-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 10/09/2026 08:30 AM PDTDescription:AWS Tools for PowerShell V5는 개발자와 관리자가 PowerShell 스크립팅 환경에서 AWS 서비스를 관리할 수 있도록 합니다. 저희는 CVE-2026-107783을 식별했으며, 이는 5.0.306 이전 버전의 AWS Tools for PowerShell에서 민감한 정보를 로그 파일에 삽입하면 로컬 사용자가 명령 출력 및 로그 아티팩트에서 IAM 사용자의 평문 AWS Management Console 비밀번호를 복구할 수 있도록 허용할 수 있습니다.영향받는 버전: <= v5.0.305이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-107783 - Insertion of sensitive information into log file in AWS Tools for PowerShell aws.amazon.com
RSS Hunter RSS Hunter • 10월 9일

CVE-2026-107608: aws-cdk-lib의 에셋 번들링 출력 처리에서 부적절한 링크 해석

Bulletin ID: 2026-131-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 10/08/2026 12:30 PM PDTDescription:AWS CDK는 고객이 선호하는 프로그래밍 언어(Python, Typescript, C#, Go)를 사용하여 클라우드 인프라를 구축할 수 있게 해주는 오픈 소스 프레임워크입니다. 이 인프라는 AWS CDK 명령줄 명령을 통해 AWS CloudFormation으로 배포될 수 있습니다. 저희는 CVE-2026-107608을 식별했는데, 이는 Docker 파일을 사용하여 AWS CDK 에셋 번들링 프로세스의 출력에 심볼릭 링크된 파일을 삽입하도록 Docker 파일을 구성할 수 있는 문제입니다. Docker 파일을 사용하여 AWS CDK로 에셋을 번들링할 때, 2.267.0 이전 버전에서는 Docker 파일이 번들링 프로세스에 입력으로 제공되지 않은 심볼릭 링크 파일 또는 디렉토리를 에셋 번들링 출력에 삽입하는 것이 가능했습니다.영향받는 버전: 2.267.0 이전의 모든 aws-cdk-lib 버전이 AWS Security Bulletin과 관련된 최신 정보 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-107608: Improper link resolution in asset bundling output handling in aws-cdk-lib aws.amazon.com
RSS Hunter RSS Hunter • 10월 8일

CVE-2026-107322 - AWS 데이터베이스용 Amazon Agent Plugins에서의 OS 명령 주입

Bulletin ID: 2026-130-AWS범위: AWS콘텐츠 유형: 중요 (주의 필요)게시 날짜: 2026년 10월 8일 오전 11:30 PDT설명:Amazon Agent Plugins for AWS는 지원되는 AI 코딩 에이전트에 AWS 중심 워크플로우 및 도구 통합을 확장하는 오픈 소스 플러그인 모음입니다. databases-on-aws 플러그인은 Aurora DSQL 헬퍼 스크립트를 포함하여 데이터베이스 설계, 개발, 마이그레이션 및 운영 지침을 제공합니다.CVE-2026-107322를 확인했습니다. 이 취약점은 databases-on-aws 버전 1.7.1 이전 버전에서 허용되지 않는 입력 목록이 불완전하여 원격 인증되지 않은 행위자가 에이전트가 수집하는 조작된 콘텐츠를 제공할 수 있습니다. 영향을 받는 코드는 네트워크 서비스를 수신 대기하는 것이 아닙니다. 운영 체제 명령 실행은 에이전트가 나중에 조작된 데이터베이스 명령 값으로 로컬 헬퍼를 호출하는 경우에만 호스트에서 가능합니다. 결과 명령은 헬퍼를 실행하는 프로세스의 권한으로 실행됩니다. 이 문제는 Aurora DSQL 서비스를 영향을 주거나 데이터베이스 권한을 우회하지 않습니다.영향을 받는 버전: databases-on-aws 버전 1.0.0 ~ 1.7.0이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-107322 - OS command injection in Amazon Agent Plugins for AWS databases-on-aws aws.amazon.com
RSS Hunter RSS Hunter • 10월 8일

CVE-2026-107332 - AWS Toolkit for Visual Studio Code의 캐시된 자격 증명에 대한 안전하지 않은 기본 파일 권한

Bulletin ID: 2026-129-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 2026년 10월 8일 오후 10:30 PDTDescription:AWS Toolkit for Visual Studio Code는 개발자가 Visual Studio Code 내에서 Amazon CodeCatalyst를 포함한 AWS 서비스로 작업할 수 있게 해주는 오픈 소스 확장입니다. CodeCatalyst 연결 핸들러에서 CVE-2026-107332라는 문제가 발생했습니다. 사용자가 CodeCatalyst Dev Environment에 연결하면, 해당 확장은 사용자의 CodeCatalyst bearer token을 모든 사용자가 읽을 수 있는 권한을 가진 파일에 캐시하고 세션이 종료된 후에도 해당 파일을 제거하지 않았습니다. 파일 시스템에 접근할 수 있는 동일한 머신상의 로컬 사용자 또는 프로세스가 이 파일을 읽어 bearer token을 획득할 수 있었습니다.영향받는 버전: < 4.10.0이 AWS Security Bulletin과 관련된 최신 정보 및 전체 내용은 아래 기사를 참조하십시오.
CVE-2026-107332 - Insecure default file permissions on cached credentials in AWS Toolkit for Visual Studio Code aws.amazon.com
RSS Hunter RSS Hunter • 10월 8일

CVE-2026-107352 - Amazon Athena 엔진 버전 3 요청 처리 시 권한 검사 누락

Bulletin ID: 2026-128-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 10/07/2026 13:00 PM PDTDescription:Amazon Athena engine version 3 요청 처리에서 권한 확인 누락으로 인해 인증된 사용자가 다른 AWS 계정의 제한된 쿼리 메타데이터(AWS 계정 식별자 및 SQL 문 텍스트)를 읽을 수 있었을 수 있습니다. AWS는 2026년 9월 1일에 해당 문제를 해결했으며, 고객 메타데이터가 접근된 사례는 없음을 확인했습니다. 쿼리 결과, 자격 증명 및 Amazon S3 데이터는 영향을 받지 않았습니다. 고객 조치는 필요하지 않습니다.Resolution:이 문제는 2026년 9월 1일에 서비스 측에서 해결되었습니다.이 AWS 보안 공지 관련 최신 정보 및 전체 내용은 아래 기사를 참조하십시오.
CVE-2026-107352 - Missing authorization checks in Amazon Athena engine version 3 request handling aws.amazon.com
RSS Hunter RSS Hunter • 10월 7일

CVE-2026-105811 - Amazon Q Business Lambda hook sample in QnABot on AWS에서 사용자 제어 키를 통한 권한 우회

Bulletin 2026-126-AWS는 AWS의 QnABot에 영향을 미치는 중요한 보안 취약점을 상세히 설명합니다. 선택 사항인 Amazon Q Business Lambda hook 샘플에서 CVE-2026-105811이 발견되었습니다. 이 샘플은 QnABot과 함께 자동으로 배포되지 않으며 수동 설정이 필요하므로, 이를 배포한 사용자만 영향을 받습니다. QnABot 버전 7.0.0부터 7.4.5까지 존재하는 이 취약점은 인증된 원격 사용자가 권한 부여를 우회할 수 있도록 합니다. 이 우회는 배포된 AWS 계정 내의 임의의 Amazon S3 객체를 무단으로 읽을 수 있게 할 수 있습니다. 이 위험을 완화하기 위해 영향을 받는 고객은 AWS 스택의 QnABot을 버전 7.4.6 이상으로 업데이트해야 합니다. QnABot을 업데이트한 후에는 Amazon Q Business Lambda hook 샘플 스택도 다시 배포해야 합니다. QnABot 스택만 업데이트하는 것으로는 필요한 수정 사항이 적용되지 않습니다. 이 다단계 수정은 잠재적인 데이터 유출로부터 보호하는 데 중요합니다. 영향을 받는 모든 고객은 포괄적이고 최신 정보를 얻기 위해 제공된 문서를 참조해야 합니다.
CVE-2026-105811 - Authorization bypass through a user-controlled key in the Amazon Q Business Lambda hook sample in QnABot on AWS aws.amazon.com
RSS Hunter RSS Hunter • 10월 7일

CVE-2026-105812 및 CVE-2026-106032: Bedrock AgentCore Starter Toolkit의 문제 - 에이전트 코드 주입 및 SSRF 가져오기

게시판 ID: 2026-127-AWS범위: AWS콘텐츠 유형: 중요함 (주의 필요)출판일: 2026년 10월 6일 오후 13:30 PDT설명: bedrock-agentcore-starter-toolkit은 AWS가 관리하는 오픈소스 Python 패키지로, GitHub와 PyPI를 통해 배포되며, Amazon Bedrock 에이전트를 로컬 개발 환경으로 가져오는 명령줄 인터페이스를 제공합니다. 우리는 CVE-2026-105812를 확인했는데, 이는 특별히 제작된 에이전트를 가져오고 이후 실행되거나 배포될 때 임의의 코드 실행을 허용할 수 있는 코드 인젝션 문제이며, CVE-2026-106032는 에이전트 가져오기 중 의도치 않은 네트워크 요청이나 로컬 파일 접근을 유발할 수 있는 외부 참조 처리 문제입니다. 영향을 받은 버전: >= 0.1.4 및 <= 0.3.13이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-105812 and CVE-2026-106032: Issue with Bedrock AgentCore Starter Toolkit - Import Agent Code Injection and SSRF aws.amazon.com
RSS Hunter RSS Hunter • 10월 6일

CVE-2026-104019 - Amazon SageMaker Distribution의 Studio Space 시작 스크립트 내 OS 명령 주입

Amazon SageMaker Unified Studio는 데이터, 분석 및 AI 개발을 통합하는 AWS 서비스입니다. 사용자는 목적에 맞게 제작된 도구를 사용하여 조직 데이터에 액세스하고 이를 활용할 수 있습니다. Unified Studio 내 SageMaker Spaces의 시작 프로세스에서 CVE-2026-104019라는 치명적인 취약점이 확인되었습니다. 이 문제는 유효성 검사 프로세스 중 네트워크 연결 세부 정보의 부적절한 sanitization에서 비롯됩니다. 특정 상황에서 이 결함은 다른 프로젝트 멤버의 SageMaker Space 내에서 임의 코드 실행으로 이어질 수 있습니다. Trusted Identity Propagation 기능이 활성화된 경우, 기여자는 다른 멤버의 임시 실행 역할 자격 증명에 액세스할 수 있습니다. 그런 다음 이를 해당 멤버를 대신하여 다운스트림 AWS 서비스를 호출하는 데 사용할 수 있습니다. AWS는 시작 유효성 검사 중 연결 세부 정보를 sanitizing하여 이 취약점을 해결하기 위한 수정 사항을 구현했습니다. 이 수정 사항은 전 세계적으로 배포되었으며 다음 시작 시 모든 Spaces에 자동으로 적용됩니다. 2.x, 3.x, 4.0.x, 4.1.x, 4.2.x 및 4.3.x의 특정 범위와 같은 여러 버전이 영향을 받습니다. 이전 버전(2.8.0 및 3.3.0 이전)과 4.5.x 버전은 영향을 받지 않습니다.
CVE-2026-104019 - OS command injection in the Studio Space startup script in Amazon SageMaker Distribution aws.amazon.com
RSS Hunter RSS Hunter • 10월 2일

CVE-2026-103956, CVE-2026-103957, 및 CVE-2026-103958 - Loom for AWS의 문제점

AWS는 오픈소스 AI 에이전트 오케스트레이션 플랫폼인 Loom for AWS의 취약점에 관한 중요한 공지를 발표했습니다. 세 가지 치명적인 문제가 식별되어 패치되었으며, 이에 따라 버전 1.7.0으로의 업그레이드가 필요합니다. 첫 번째 취약점인 CVE-2026-103956은 인증 우회와 관련이 있었으며, 이를 통해 모든 네트워크 클라이언트가 에이전트 제어 평면에 대한 관리자 제어 권한을 얻을 수 있었습니다. 이는 버전 1.6.1에서 수정되었습니다. 두 번째 문제인 CVE-2026-103957은 OAuth2 토큰 및 자격 증명 노출과 관련이 있었습니다. 인증된 사용자가 특정 검색 URL을 구성할 때 발생할 수 있었으며, 이로 인해 민감한 정보가 타사 엔드포인트로 전송될 수 있었습니다. 이 취약점은 버전 1.7.0에서 완전히 해결되었습니다. 세 번째 취약점인 CVE-2026-103958은 인증된 사용자가 임의의 내부 네트워크 위치로 직접 연결 요청을 보낼 수 있도록 허용했습니다. 여기에는 컨테이너의 자격 증명 제공 엔드포인트로부터의 응답을 포함하여 응답을 읽을 수 있는 가능성도 포함되었습니다. 이 문제는 버전 1.7.0에서도 해결되었습니다. 사용자들은 최신 버전으로 업그레이드하고 파생된 코드를 패치할 것을 강력히 권고합니다. 이 공지는 이러한 보안 업데이트를 신속하게 적용하는 것의 중요성을 강조합니다. 자세한 내용은 연결된 기사에서 확인할 수 있습니다.
CVE-2026-103956, CVE-2026-103957, and CVE-2026-103958 - Issues in Loom for AWS aws.amazon.com
RSS Hunter RSS Hunter • 10월 2일

CVE-2026-103505 - Amazon EFS CSI 드라이버의 마운트 옵션 주입

게시판 ID: 2026-120-AWS범위: AWS콘텐츠 유형: 중요함 (주의 필요)출판일: 2026년 10월 1일 오전 8:30 PDT설명: Amazon EFS CSI 드라이버는 Kubernetes 클러스터가 Amazon Elastic File System을 사용할 수 있도록 하는 컨테이너 스토리지 인터페이스 드라이버입니다. 우리는 CVE-2026-103505를 확인했는데, PersistentVolume 생성 권한을 가진 행위자가 mounttargetipmap volumeAttribute를 통해 추가 마운트 옵션을 주입할 수 있습니다. JSON 맵 내 값에 쉼표로 구분된 값을 추가하면 마운트 유틸리티가 별도의 마운트 옵션으로 파싱합니다. 영향을 받은 버전: >= v3.1.0 및 <= v3.4.2이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-103505 - Mount Option Injection in Amazon EFS CSI Driver aws.amazon.com
RSS Hunter RSS Hunter • 10월 2일

CVE-2026-104002: Powertools for AWS Lambda (Python)의 데이터 마스킹 유틸리티에서 Fail-open 오류 처리

게시판 ID: 2026-123-AWS범위: AWS콘텐츠 유형: 중요함 (주의 필요)출판일: 2026년 10월 1일 오후 14:00 PDT설명: Powertools for AWS Lambda(파이썬)는 서버리스 모범 사례를 구현하고 개발자 속도를 높이는 개발자용 툴킷입니다. 우리는 Powertools for AWS Lambda(파이썬)의 데이터 마스킹 유틸리티 내에서 fail-open(실패 개방) 오류 처리 문제인 CVE-2026-104002를 확인했습니다. 이 문제는 액터가 애플리케이션이 마스킹하려는 민감한 필드 값을 읽을 수 있게 할 수 있습니다. 영향을 받은 버전: >=3.6.0 및 <=3.34.0이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-104002: Fail-open error handling in the data masking utility in Powertools for AWS Lambda (Python) aws.amazon.com
RSS Hunter RSS Hunter • 10월 1일

CVE-2026-104020 - Amazon Ion Python의 Ion 리더에서 제어되지 않는 재귀

Bulletin ID: 2026-122-AWS범위: AWS콘텐츠 유형: 중요 (주의 필요)게시 날짜: 2026년 10월 1일 오후 1시 30분 PDT설명:Amazon Ion Python은 Amazon Ion 데이터 표기법의 오픈 소스 Python 구현입니다. Amazon Ion Python 버전 0.15.0 이전 버전의 Ion 리더에서 발견된 CVE-2026-104020 문제를 확인했습니다. 이 문제는 정교하게 조작된 깊이 중첩된 Ion 값이 애플리케이션에서 오류를 발생시키거나 충돌을 일으켜 서비스 거부를 초래할 수 있습니다.영향받는 버전: < 0.15.0이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-104020 - Uncontrolled recursion in the Ion reader in Amazon Ion Python aws.amazon.com
RSS Hunter RSS Hunter • 10월 1일

CVE-2026-97662 - AWS security-agent-mcp-server diff scan에서의 인자 주입

게시판 ID: 2026-121-AWS범위: AWS콘텐츠 유형: 중요함 (주의 필요)출판일: 2026년 10월 1일 오전 10:30 PDT설명: security-agent-mcp-server는 AWS가 awslabs/mcp 저장소에 공개한 오픈 소스 모델 컨텍스트 프로토콜(MCP) 서버로, AI 어시스턴트가 소스 코드를 통해 로컬 보안 스캔(차등 'diff' 스캔 포함)을 실행하는 데 사용합니다. 우리는 CVE-2026-97662를 확인했는데, 이는 diff 스캔 작업에서 인수 주입 문제입니다: 스캔에 제공된 참조 값이 수정판이 아닌 명령줄 옵션으로 해석되어, 컨텍스트 의존 액터가 서버의 작업 공간 제한 제어를 우회하여 의도된 작업 공간 디렉터리 밖에서 임의의 파일을 생성, 덮어쓰기 또는 잘라낼 수 있게 합니다. 영향을 받은 버전: >= 0.1.1 및 < 0.2.0이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-97662 - Argument injection in AWS security-agent-mcp-server diff scan aws.amazon.com
RSS Hunter RSS Hunter • 10월 1일

CVE-2026-100308 - GluonTS 모델 역직렬화 중 임의 명령 실행

Bulletin ID: 2026-119-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 2026년 9월 29일 오전 8시 PDTDescription:GluonTS는 딥러닝 기반 시계열 모델을 위한 오픈 소스 라이브러리입니다. 신뢰할 수 없는 모델 아티팩트의 역직렬화 시 임의 명령 실행을 허용하는 CVE-2026-100308을 확인했습니다.Amazon GluonTS 0.17.0 이전 버전의 모델 로딩 컴포넌트에서 신뢰할 수 없는 데이터의 역직렬화는 컨텍스트에 따라 공격자가 조작된 직렬화된 모델 디렉토리를 통해 로딩 프로세스의 권한으로 임의의 운영 체제 명령을 실행할 수 있도록 허용할 수 있습니다. 이 문제는 사용자가 완전히 제어하지 못하는 모델 디렉토리에 대해 Predictor.deserialize() 또는 RepresentablePredictor.deserialize()를 호출할 때마다 발생합니다.영향받는 버전: <0.17.0이 AWS 보안 게시판과 관련된 최신 및 전체 정보는 아래 기사를 참조하십시오.기사 보기
CVE-2026-100308 - GluonTS arbitrary command execution during model deserialization aws.amazon.com
RSS Hunter RSS Hunter • 9월 29일

CVE-2026-96883 - AWS pgcollection의 타입 혼동으로 인한 원격 코드 실행

Bulletin ID: 2026-118-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 2026년 9월 24일 12:00 PM PDTDescription:pgcollection은 PostgreSQL의 오픈 소스 확장입니다. pgcollection의 타입 강제(type coercion) 로직에서 CVE-2026-96883이라는 문제를 확인했습니다. 저장된 icollection 값을 실제 저장된 방식과 호환되지 않는 타입으로 요청할 때, 확장 기능이 데이터의 표현을 잘못 해석하여 인증된 데이터베이스 사용자가 PostgreSQL 백엔드를 충돌시키거나 임의 코드를 실행할 수 있게 합니다.영향을 받는 버전: pgcollection v2.0.0부터 v2.1.1까지이 AWS 보안 공지사항과 관련된 최신 및 전체 정보는 아래 기사를 참조하십시오.기사 보기
CVE-2026-96883 - Type confusion in AWS pgcollection allows remote code execution aws.amazon.com
RSS Hunter RSS Hunter • 9월 24일

CVE-2026-94450 - s2n-quic에서 Retry 패킷 전송으로 구성 시 잠재적인 서비스 거부

Bulletin ID: 2026-116-AWSScope: AWSContent Type: Important (requires attention)Publication Date: 09/22/2026 13:00 PM PDTDescription:s2n-quic은 QUIC 프로토콜의 Rust 구현입니다. 서버가 Retry 패킷을 전송하도록 구성되었을 때 Destination Connection ID 길이의 부적절한 검증과 관련된 문제인 CVE-2026-94450을 확인했습니다. s2n-quic 1.88.0 이하 버전에서는 인증되지 않은 사용자가 단일 조작된 UDP 데이터그램을 통해 서버 엔드포인트를 종료할 수 있습니다. 이 문제로 인해 영향을 받는 AWS 서비스는 없으며, AWS 서비스 고객은 조치를 취할 필요가 없습니다. Retry 패킷을 발행하도록 특별히 구성된 서버 엔드포인트만 영향을 받습니다.영향을 받는 버전: <= v1.88.0이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-94450 - Potential denial of service when configured to send Retry packets in s2n-quic aws.amazon.com
RSS Hunter RSS Hunter • 9월 22일

CVE-2026-94384 - AmazonConnectSalesforceLambda sfExecuteAWSService의 권한 누락

게시판 ID: 2026-115-AWS범위: AWS콘텐츠 유형: 중요함 (주의 필요)출판일: 2026년 9월 22일 오전 10:00 PDT설명: Amazon Connect Salesforce Lambda(AmazonConnectSalesforceLambda)는 Amazon Connect와 Salesforce를 통합하기 위한 Lambda 함수를 제공하는 서버리스 애플리케이션 저장소 애플리케이션입니다. 우리는 초기 설정 시에만 사용되는 sfExecuteAWSService Lambda 함수에서 누락된 권한 부여 문제인 CVE-2026-94384를 확인했습니다. 이 함수는 호출자의 권한을 검증하지 않고 호출자가 제공한 매개변수를 특권이 있는 AWS 서비스 API에 배포합니다. 결과적으로, 함수에 lambda:InvokeFunction 권한이 있는 IAM 주체는 자신의 IAM 권한으로 거부할 수 있는 AWS 작업을 수행할 수 있습니다. 영향 버전: >= 5.15 및 <= 5.24.16이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-94384 - Missing Authorization in AmazonConnectSalesforceLambda sfExecuteAWSService aws.amazon.com
RSS Hunter RSS Hunter • 9월 22일

CVE-2026-92943 - AWS IoT Device SDK for Python의 호스트 불일치 인증서의 부적절한 검증

게시판 ID: 2026-115-AWS 범위: AWS 콘텐츠 유형: 중요(주의 필요) 출판일: 2026년 9월 17일 오후 12:00 PDT 설명: AWS IoT Device SDK for Python(AWSIoTPythonSDK)은 IoT 기기와 게이트웨이가 MQTT를 통해 AWS IoT Core에 연결할 수 있게 해주는 오픈 소스 SDK입니다. 우리는 MQTT 클라이언트 TLS 연결 계층에서 CVE-2026-92943을 확인했는데, 클라이언트가 서버 인증서가 AWS IoT Core 엔드포인트 호스트네임과 일치하는지 검증하지 않았습니다. Python 3.7 이후 버전에서는 네트워크 내 중간 공격자가 장치 신뢰 저장소 내 어떤 인증 기관이 발급한 무관한 호스트명에 대한 인증서를 제시하고, AWS IoT Core 엔드포인트를 가칭하며, 장치 텔레메트리를 읽고, 장치가 진짜로 처리하는 임의의 MQTT 메시지를 주입할 수 있었습니다. 두 SDK 기본 연결 경로 모두 영향을 받았습니다: X.509 상호 인증은 포트 8883에서, WebSocket은 포트 443에서 SigV4가 사용되었습니다. 포트 443 ALPN 경로는 영향을 받지 않았습니다. 영향을 받는 버전: >=1.5.3 및 <=1.6.0 (Python 3.7 및 이후 버전) 이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-92943 - Improper validation of certificate with host mismatch in AWS IoT Device SDK for Python aws.amazon.com
RSS Hunter RSS Hunter • 9월 17일

CVE-2026-86831: Amazon EKS의 aws-network-policy-agent에서 pod 식별자 고유성 검증 미흡

Bulletin ID: 2026-113-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 게시 날짜: 2026년 9월 16일 오후 12:30 PDT설명:Network Policy Agent는 EKS 정책 관리 기능입니다. v1.4.0 이전 Amazon EKS Network Policy Agent(aws-network-policy-agent)에서 CVE-2026-86831, 즉 네임스페이스 간 NetworkPolicy 우회가 확인되었습니다. Pod 식별자는 파드 이름과 네임스페이스를 하이픈 구분 기호로 연결하여 구성되는데, 이는 Kubernetes 파드 이름과 네임스페이스 이름 모두에서 합법적인 문자입니다. 이 모호성으로 인해 서로 다른 네임스페이스의 파드에 대해 동일한 식별자가 생성될 수 있으며, 잠재적으로 NetworkPolicy 적용이 우회될 수 있습니다.영향을 받는 버전: - 1.14.0<1.22.3 Amazon VPC CNI Managed Add-on - < v1.4.0 Network Policy Agent이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-86831: Improper validation of pod identifier uniqueness in aws-network-policy-agent in Amazon EKS aws.amazon.com
RSS Hunter RSS Hunter • 9월 16일

CVE-2026-86830 - AWS IAM Identity Center의 임시 권한 상승 관리(TEAM)에서 잘못된 권한 할당

Bulletin ID: 2026-112-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 발행일: 2026년 9월 14일 오전 10:45 PDT설명:Temporary Elevated Access Management (TEAM)은 AWS IAM Identity Center를 통해 임시 상승된 액세스를 관리하기 위한 오픈 소스 AWS 샘플 솔루션입니다. 저희는 CVE-2026-86830을 식별했으며, 이 취약점을 통해 애플리케이션 수준 액세스 권한이 있는 인증된 사용자는 TEAM에서 관리하는 AWS 계정에 의도치 않게 임시 상승된 액세스 권한을 얻을 수 있습니다.영향받는 버전: <1.5.1이 AWS 보안 공지 관련 최신 및 전체 정보는 아래 기사를 참조하십시오.
CVE-2026-86830 - Incorrect privilege assignment in Temporary Elevated Access Management (TEAM) for AWS IAM Identity Center aws.amazon.com
RSS Hunter RSS Hunter • 9월 14일

CVE-2026-89332 - Kiro IDE Agent-Written Workspace Configuration을 통한 민감한 워크스페이스 데이터 유출

이 게시물은 Kiro IDE의 보안 취약점, 특히 CVE-2026-89332에 대해 다룹니다. Kiro IDE는 개발자를 지원하기 위해 설계된 AI 기반 개발 환경입니다. 이 취약점은 신뢰할 수 없는 작업 공간 내의 악의적인 에이전트가 프로젝트의 설정 파일을 수정할 수 있도록 합니다. 이 수정은 Kiro의 Powers 레지스트리 URL을 외부 서버로 리디렉션할 수 있습니다. 결과적으로 민감한 작업 공간 데이터가 이 악의적인 엔드포인트로 유출될 수 있습니다. Kiro는 사용자 승인을 위해 편집 내용을 제시하지만, 파일 수정은 사용자 응답 전에 발생합니다. 승인 전에 Powers 패널을 열면 데이터 전송이 트리거됩니다. 이 문제는 0.8.135 이전 버전의 Kiro IDE에 영향을 미칩니다. 사용자에게는 Kiro IDE의 안전한 버전으로 업데이트하는 것이 좋습니다. 자세한 내용은 참조된 기사에서 확인할 수 있습니다.
CVE-2026-89332 - Kiro IDE Sensitive Workspace Data Exfiltration via Agent-Written Workspace Configuration aws.amazon.com
RSS Hunter RSS Hunter • 9월 11일

CVE-2026-89090 - AWS SDK for Go v2의 이벤트 스트림 헤더 디코더에서의 서비스 거부

Bulletin ID: 2026-110-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 발행일: 2026년 11월 9일 오전 10:00 PDT설명:AWS SDK for Go v2의 EventStream 헤더 디코더에 2026년 3월 23일 이전 버전에서 문제가 존재합니다. 공격자는 유효 범위를 벗어난 조작된 헤더 값 유형 바이트를 포함하는 잘못된 형식의 EventStream 응답 프레임을 전송할 수 있으며, 이로 인해 호스트 프로세스가 종료될 수 있습니다.영향받는 버전: < 2026-03-23이 AWS 보안 공지 사항과 관련된 최신 정보 및 전체 내용은 아래 기사를 참조하십시오.
CVE-2026-89090 - Denial of service in the event stream header decoder in AWS SDK for Go v2 aws.amazon.com
RSS Hunter RSS Hunter • 9월 11일

CVE-2026-18061 - AWS Advanced JDBC Wrapper RemoteQueryCachePlugin의 XML 외부 엔티티(XXE)

게시판 ID: 2026-109-AWS 범위: AWS 콘텐츠 유형: 중요(주의 필요) 출판일: 2026년 9월 11일 오전 9:30 PDT 설명: AWS Advanced JDBC Wrapper는 기존 JDBC 드라이버에 Aurora 장애 조치, IAM 인증, 자동화된 SQL 쿼리 캐싱 등 AWS 전용 기능을 제공하는 오픈 소스 라이브러리로, Amazon Aurora, RDS MySQL, RDS MariaDB에 연결된 애플리케이션을 지원합니다. 우리는 선택적 RemoteQueryCachePlugin에서 XML 외부 엔티티(XXE) 참조에 대한 부적절한 제한인 CVE-2026-18061을 확인했습니다. 이 플러그인이 공유 캐시와 함께 활성화되면, 해당 캐시 인프라에 쓰기 권한이 있는 액터가 만든 XML을 캐시된 열 값에 배치할 수 있습니다. 애플리케이션이 그 캐시된 결과를 XML로 읽으면, 래퍼의 XML 파서가 외부 엔터티를 해석하여, 액터가 애플리케이션 프로세스에서 읽을 수 있는 민감한 파일(저장된 데이터베이스 및 IAM 역할 자격 증명 포함)을 공개할 수 있습니다. 영향을 받은 버전: >= 3.3.0 및 <= 4.2.0 이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-18061 - XML External Entity (XXE) in AWS Advanced JDBC Wrapper RemoteQueryCachePlugin aws.amazon.com
RSS Hunter RSS Hunter • 9월 11일

CVE-2026-89065 및 CVE-2026-89066: projen 관련 문제 - 경로 탐색 및 OS 명령 주입

AWS는 projen 오픈소스 도구의 취약점에 관한 중요한 보안 공지를 발표했습니다. Projen은 소프트웨어 프로젝트 구성을 코드로 정의하고 합성하는 데 사용됩니다. 두 가지 특정 문제가 식별되었으며, 이는 projen의 서로 다른 구성 요소에 영향을 미칩니다. CVE-2026-89065는 파일 매니페스트 정리 구성 요소의 상대 경로 탐색 취약점입니다. 이는 공격자가 프로젝트 디렉터리 외부의 파일 및 디렉터리를 삭제할 수 있도록 허용할 수 있습니다. 이 취약점은 projen 버전 0.101.37 이전 버전에 존재합니다. 이 문제에 대한 수정 사항은 projen 런타임이 다음 실행 시 자동으로 적용됩니다. CVE-2026-89066은 작업 합성 구성 요소의 OS 명령 주입 취약점입니다. 공격자는 이를 악용하여 임의의 명령을 실행할 수 있습니다. 이는 특별히 제작된 프로젝트 구성 값 또는 파일 이름을 통해 가능합니다. 이 취약점은 projen 버전 0.103.0 이전 버전에 영향을 미칩니다. AWS는 사용자에게 가장 최신의 포괄적인 세부 정보를 위해 해당 기사를 참조할 것을 권고합니다.
CVE-2026-89065 and CVE-2026-89066: Issue with projen - Path traversal and OS command injection aws.amazon.com
RSS Hunter RSS Hunter • 9월 11일

CVE-2026-89049 - AWS Systems Manager Agent의 세션 관리자 포트 전달 기능에서의 서버 측 요청 위조

이 게시물은 AWS Systems Manager Agent(SSM Agent)의 치명적인 보안 취약점에 대해 다룹니다. CVE-2026-89049로 식별된 이 취약점은 서버 측 요청 위조(SSRF) 문제입니다. 이는 특히 SSM Agent의 원격 호스트 포트 전달 기능에 영향을 미칩니다. 이 결함은 동등한 주소 표현의 부적절한 검증에서 발생합니다. 포트 전달 권한이 있는 인증된 사용자는 이를 악용하여 대상 거부 목록을 우회할 수 있습니다. 이 우회를 통해 로컬 연결 엔드포인트에 도달할 수 있습니다. 악용 시 관리 대상 인스턴스의 임시 IAM 역할 자격 증명이 손상될 수 있습니다. 그런 다음 공격자는 해당 자격 증명을 사용하여 인스턴스를 사칭할 수 있습니다. 원격 호스트 포트 전달을 지원하는 경우 SSM Agent 버전 3.3.4851.0 이전 버전이 영향을 받습니다. 사용자에게는 포괄적인 세부 정보 및 완화 지침을 위해 연결된 기사를 참조할 것을 강력히 권장합니다.
CVE-2026-89049 - Server-side request forgery in the Session Manager port forwarding functionality in AWS Systems Manager Agent aws.amazon.com
RSS Hunter RSS Hunter • 9월 10일

CVE-2026-85228 - Deep Java Library의 텐서 버퍼 유효성 검사에서 정수 오버플로우

게시판 ID: 2026-106-AWS 범위: AWS 콘텐츠 유형: 중요 (주의 필요) 출판일: 2026년 9월 10일 오전 10:00 PDT 설명: 딥 자바 라이브러리(DJL)는 아마존이 개발 및 유지 관리하는 오픈 소스 엔진 무립 자바 딥러닝 프레임워크입니다. AWS는 모든 플랫폼에서 DJL의 텐서 버퍼 검증 구성 요소에 정수 오버플로우가 발생한 CVE-2026-85228을 확인했습니다. 계산된 바이트 크기가 32비트 부호 정수 범위를 초과하는 형태를 선언하는 맞춤형 텐서 페이로드는 크기를 랩하여 작은 버퍼가 검증을 통과할 수 있게 합니다; 이후 텐서 연산은 경계 밖으로 읽힙니다. 이 문제를 활용하면 원격의 인증되지 않은 액터가 인접한 프로세스 메모리에서 정보를 얻거나 서비스 거부를 초래할 수 있습니다. 이 문제에 대한 수정안이 공개되었으며, DJL 사용자는 0.37.0 이상으로 업그레이드할 것을 권장합니다. 영향을 받은 버전: >=0.13.0 및 <=0.36.0 이 AWS 보안 게시판과 관련된 가장 최시이자 완전한 정보는 아래 기사를 참고해 주시기 바랍니다.
CVE-2026-85228 - Integer overflow in tensor buffer validation in Deep Java Library aws.amazon.com
RSS Hunter RSS Hunter • 9월 10일