TheNote
AWS Latest Bulletins на русско... Заметка
GooglePlay AppStore

AWS Latest Bulletins на русском

Указанная веб-страница AWS посвящена бюллетеням безопасности. Это один из надежных источников распространения информации о последних уведомлениях и обновлениях системы безопасности. Бюллетени в основном охватывают рекомендации по безопасности, внеполосные исправления и другие обновления безопасности продуктов. Эти бюллетени позволяют пользователям быть в курсе последних событий в области безопасности, обеспечивая безопасность и соответствие их инфраструктуры нормативным требованиям.
Latest Bulletins aws.amazon.com
RSS aws.amazon.com
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

CVE-2026-18428 - Плагин OpenSearch SQL - Обход асинхронной проверки запросов

В расширении Flint плагина OpenSearch SQL обнаружена проблема, при которой недостаточная проверка позволяет обойти запрещенный список грамматики SQL. Эта уязвимость может быть использована пользователями с доступом к асинхронным запросам через конечную точку прямого запроса. Затронутые версии плагина с открытым исходным кодом для самостоятельного управления: от v2.13 до v3.6, а для Amazon OpenSearch Service: от v2.13 до v3.5. Обновления до версий 3.7 и 2.19.6 для плагина, а также обновление программного обеспечения сервиса для Amazon OpenSearch Service устраняют эту уязвимость.
CVE-2026-18428 - OpenSearch SQL Plugin - Async Query Validation Bypass aws.amazon.com
RSS Hunter RSS Hunter • 13 авг.

CVE-2026-18952 - Отсутствие проверки ввода в плагине OpenSearch Security Analytics

Данный бюллетень посвящен CVE-2026-18952, критической уязвимости в плагине OpenSearch Security Analytics. Проблема заключается в отсутствии проверки входных данных в парсере ленты аналитики угроз. Аутентифицированный пользователь с определенными привилегиями может использовать этот недостаток для выполнения подделки запросов на стороне сервера (SSRF). Этот SSRF позволяет ему читать локальные файлы путем манипулирования параметром URL. Уязвимость затрагивает плагины OpenSearch Security Analytics, управляемые самостоятельно, версии 2.15.0 и выше. Для Amazon OpenSearch Service затронуты домены, работающие на версиях движка 2.15.0 и выше. Однако затронутая функциональность по умолчанию не включена в управляемом сервисе AWS. Уязвимость устранена в плагине OpenSearch Security Analytics версии 3.5.0 и выше. Amazon OpenSearch Service устранил эту проблему путем обновлений программного обеспечения сервиса для версии движка 3.5. Пользователям рекомендуется ознакомиться с прилагаемой статьей для получения полной информации.
CVE-2026-18952 - Missing Input Validation in OpenSearch Security Analytics Plugin aws.amazon.com
RSS Hunter RSS Hunter • 13 авг.

CVE-2026-19642 и CVE-2026-19643 - Проблемы безопасности памяти в декодере Base64 в AWS SDK для C++

AWS выпустила важное уведомление о критических уязвимостях в AWS SDK для C++. Две конкретные CVE, CVE-2026-19642 и CVE-2026-19643, затрагивают декодер Base64 в SDK. CVE-2026-19642 описывает уязвимость записи за пределами допустимых границ. Это может привести к повреждению памяти или сбоям в работе приложения. CVE-2026-19643 описывает уязвимость чтения за пределами допустимых границ. На некоторых платформах это также может привести к сбоям в работе приложения. Влияние обеих этих уязвимостей ограничено конкретным процессом, выполняющим декодирование Base64. Все версии AWS SDK для C++ до версии 1.11.861 включительно затронуты. AWS настоятельно рекомендует пользователям оперативно устранить эти проблемы. Дополнительные сведения и самую актуальную информацию можно найти в прилагаемой статье.
CVE-2026-19642 & CVE-2026-19643 - Memory-safety issues in the Base64 decoder in the AWS SDK for C++ aws.amazon.com
RSS Hunter RSS Hunter • 12 авг.

CVE-2026-19311 - Отсутствие авторизации в плагине оповещений OpenSearch

Выпущено важное уведомление по безопасности, касающееся уязвимости авторизации в плагине OpenSearch Alerting. Эта уязвимость, CVE-2026-19311, затрагивает определенные версии как самостоятельно управляемых развертываний, так и развертываний Amazon OpenSearch Service. Аутентифицированный пользователь с определенными привилегиями мог использовать этот недостаток для манипулирования данными индекса посредством специально сформированных запросов мониторинга. Меры по устранению включают обновление до исправленных версий плагина или обновление доменов Amazon OpenSearch Service до исправленного выпуска программного обеспечения.
CVE-2026-19311- Missing Authorization in OpenSearch Alerting Plugin aws.amazon.com
RSS Hunter RSS Hunter • 12 авг.

CVE-2026-19111 - Небезопасная прямая ссылка на объект в инструментах памяти Strands Agents Tools

Выявлена критическая уязвимость CVE-2026-19111 в Strands Agents SDK, затрагивающая пакет strands-agents-tools. Уязвимость проявляется в версиях до 0.8.3. Проблема заключается в некорректном использовании параметра пространства имен, контролируемого пользователем, для изоляции клиентов в инструментах mongodb_memory, elasticsearch_memory и mem0_memory. Злоумышленник может создать запрос для манипулирования этим пространством имен. Такая манипуляция позволяет получить несанкционированный доступ к сохраненным воспоминаниям агентов других клиентов. Злоумышленники могут читать, изменять или удалять воспоминания, принадлежащие другим пользователям. Они также могут внедрять ложные воспоминания в пространство имен другого клиента. Кроме того, автономные функции mongodb_memory и elasticsearch_memory раскрывают параметры подключения. Это может позволить перенаправить слой памяти на кластер, контролируемый злоумышленником. Пользователям настоятельно рекомендуется обновиться до версии strands-agents-tools 0.8.3 или выше.
CVE-2026-19111 - Insecure direct object reference in Strands Agents Tools memory tools aws.amazon.com
RSS Hunter RSS Hunter • 6 авг.

CVE-2026-18954 - Некорректная авторизация в инструменте конвейера агрегации в Amazon AWS Labs DocumentDB MCP Server

Идентификатор бюллетеня: 2026-076-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 08.05.2026 13:00 PDTОписание:Amazon DocumentDB MCP Server — это сервер протокола контекста модели (MCP) с открытым исходным кодом, который позволяет ИИ-ассистентам взаимодействовать с базами данных Amazon DocumentDB. Мы выявили CVE-2026-18954, проблему некорректной авторизации, при которой этапы конвейера агрегации с возможностью записи ($out, $merge) обходят логику принудительного применения режима только для чтения, что потенциально позволяет аутентифицированному клиенту MCP выполнять операции записи в подключенной базе данных.Затронутые версии: < 1.0.12Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18954 - Incorrect authorization in the aggregation pipeline tool in Amazon AWS Labs DocumentDB MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 5 авг.

CVE-2026-18953 - Ненадлежащее ограничение пути в AWS Transform MCP Server

ID бюллетеня: 2026-075-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 08/05/2026 12:30 PDT Описание: AWS Transform MCP Server (awslabs.aws-transform-mcp-server) — это сервер с открытым исходным кодом Model Context Protocol (MCP), который работает локально на машине разработчика и позволяет ассистентам на базе ИИ взаимодействовать с AWS Transform для выполнения заданий на трансформацию кода и извлечения их артефактов. Мы выявили CVE-2026-18953. Неправильное ограничение имени пути ограниченным каталогом в инструменте get_resource в awslabs.aws-transform-mcp-server до версии 0.1.5 могло позволить контекстно-зависящему актору записывать произвольные файлы вне предполагаемой рабочей папки через параметр savePath, что могло привести к локальному выполнению кода. Изменённые версии: >=0.1.0 И <=0.1.4 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-18953 - Improper limitation of a pathname in AWS Transform MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 5 авг.

CVE-2026-18656 и CVE-2026-18657 - Проблема с Kiro IDE и CLI - Разрешение исполняемых файлов из недоверенного каталога проекта в Windows

Идентификатор бюллетеня: 2026-074-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 08.04.2026 12:30 PDTОписание:Kiro — это агентная IDE и интерфейс командной строки, которые пользователи устанавливают на свой рабочий стол. Мы выявили CVE-2026-18656 и CVE-2026-18657 — проблему, при которой неконтролируемый элемент пути поиска в Windows может позволить злоумышленнику выполнить произвольный код через специально созданный каталог проекта, содержащий внедренный исполняемый файл, который разрешается раньше системного PATH при открытии каталога локальным пользователем.Затронутые версии: - Kiro IDE для Windows версий от 1.0.0 до 1.0.212 - Kiro CLI для Windows до v2.10.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18656 & CVE-2026-18657 - Issue with Kiro IDE and CLI - Executable Resolution from Untrusted Project Directory on Windows aws.amazon.com
RSS Hunter RSS Hunter • 4 авг.

CVE-2026-18830 - Проблема с Amazon Bedrock AgentCore harness – Недостаточная проверка входных данных

Идентификатор бюллетеня: 2026-073-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 04.08.2026 10:00 PDTОписание:Мы выявили CVE-2026-18830 в API InvokeHarness Amazon Bedrock AgentCore. Эта проблема может позволить аутентифицированному пользователю выполнять настроенные инструменты, обходя вызов модели и связанные с ним средства контроля безопасности. Когда последнее сообщение в запросе InvokeHarness содержало блок контента, использующий инструмент, цикл событий агента мог напрямую вызывать именованный инструмент без посредничества модели.Обратите внимание, что потенциальное воздействие было ограничено инструментами, настроенными для данного harness. Harness без настроенных инструментов не мог выполнить ни один инструмент, а harness с ограниченным набором инструментов был ограничен этим набором.Затронутые версии:API InvokeHarness Amazon Bedrock AgentCore до 31 июля 2026 года.Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18830 - Issue with Amazon Bedrock AgentCore harness – Insufficient Input Validation aws.amazon.com
RSS Hunter RSS Hunter • 4 авг.

CVE-2026-18733 - Внедрение подсказки обходит ворота согласия на использование инструментов оболочки в Strands Agents Tools

Strands Agents — это SDK с открытым исходным кодом для создания ИИ-агентов. Пакет strands-agents-tools предлагает готовые инструменты, включая инструмент оболочки для выполнения команд ОС. Этот инструмент оболочки имел механизм подтверждения пользователем для одобрения команд. Однако он также имел параметр non_interactive, управляемый LLM. Специально составленный запрос мог установить этот параметр в true, обходя механизм подтверждения. Эта обходная уязвимость позволяет выполнять произвольные команды ОС на хосте агента без одобрения оператора. Уязвимость идентифицирована как CVE-2026-18733. Версии до 0.8.0 затронуты этой проблемой. Этот бюллетень требует внимания оператора. Дополнительная обновленная информация доступна в статье.
CVE-2026-18733 - Prompt injection bypasses shell tool consent gate in Strands Agents Tools aws.amazon.com
RSS Hunter RSS Hunter • 3 авг.

CVE-2026-18654 - Отключена проверка ключа хоста SSH в вспомогательных командах AWS CLI EMR

Идентификатор бюллетеня: 2026-071-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 08.03.2026 12:30 PDTОписание:AWS Command Line Interface (AWS CLI) — это унифицированный инструмент для управления службами AWS из командной строки. Мы выявили CVE-2026-18654, проблему, при которой вспомогательные команды EMR SSH (aws emr ssh, aws emr socks, aws emr put, aws emr get) отключали проверку SSH-ключа хоста, что могло позволить злоумышленникам, находящимся в середине сети, перехватывать SSH-сессии и передачу файлов путем сетевого позиционирования между клиентом и конечной точкой кластера EMR.Затронутые версии: - AWS CLI v1 <= 1.45.27 - AWS CLI v2 <= 2.35.2Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18654 - Disabled SSH host key verification in AWS CLI EMR helper commands aws.amazon.com
RSS Hunter RSS Hunter • 3 авг.

CVE-2026-18655 - Раскрытие учетных данных брокера и токена OAuth в сервере Amazon MQ MCP от AWS Labs через внедрение подсказок

Идентификатор бюллетеня: 2026-070-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 08.03.2026 12:00 PDTОписание:AWS Amazon MQ MCP Server (awslabs.amazon-mq-mcp-server) — это сервер протокола контекста модели, который позволяет ИИ-помощникам взаимодействовать с брокерами сообщений Amazon MQ.Мы выявили CVE-2026-18655, неправильное ограничение целевых конечных точек в инструментах подключения брокера RabbitMQ Amazon MQ MCP Server (awslabs.amazon-mq-mcp-server) до версии 2.0.24, которое может позволить удаленному неаутентифицированному субъекту получить учетные данные брокера Amazon MQ для RabbitMQ или токены доступа OAuth, отправленные на специально созданную конечную точку, управляемую через имя хоста брокера, введенное в контексте клиента MCP.Затронутые версии: <= 2.0.23Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18655 - Broker Credential and OAuth Token Disclosure in AWS Labs Amazon MQ MCP Server via Prompt Injection aws.amazon.com
RSS Hunter RSS Hunter • 3 авг.

CVE-2026-18394 - Некорректная авторизация в инструменте http_request Strands Agents Tools

Этот бюллетень безопасности AWS, 2026-069-AWS, описывает важную уязвимость в Strands Agents SDK. Пакет strands-agents-tools, в частности его инструмент http_request, имеет недостаток в авторизации. Эта проблема, отслеживаемая как CVE-2026-18394, может привести к раскрытию учетных данных. Операторы используют HTTP_REQUEST_TOKEN_CONFIG для создания белого списка имен хостов для передачи учетных данных. Однако инструмент http_request имел параметр proxies в своей схеме ввода. Большая языковая модель (LLM) может быть обманута с помощью специально созданного запроса для управления этим параметром. Это позволяет установить прокси на конечную точку, контролируемую злоумышленником. Несмотря на прохождение проверки списка разрешенных имен хостов, учетные данные все равно прикрепляются к запросу. Затем запрос направляется через прокси злоумышленника при первом переходе. Следовательно, учетные данные раскрываются в открытом тексте в заголовке Authorization. Затронутые версии — это версии до 0.8.2. Пользователям следует обновить до версии 0.8.2 или более поздней, чтобы устранить эту уязвимость. Дополнительные сведения доступны в связанной статье, где представлена исчерпывающая информация.
CVE-2026-18394 - Incorrect authorization in Strands Agents Tools http_request tool aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

CVE-2026-18420 - Удаленное выполнение кода через загрязнение прототипа в плагине TSVB OpenSearch Dashboards

Идентификатор бюллетеня: 2026-068-AWS Дата публикации: 31.07.2026 11:00 PDTПожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18420 - Remote Code Execution via Prototype Pollution in OpenSearch Dashboards TSVB Plugin aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

Неполное исправление для инъекции кода CVE-2025-4318 в Amazon @aws-amplify/codegen-ui-react

Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
Incomplete fix for CVE-2025-4318 code injection in Amazon @aws-amplify/codegen-ui-react aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

CVE-2026-18140 - Неконтролируемая рекурсия в пути пропуска неизвестных ключей aws-smithy-json позволяет удаленно отказать в обслуживании без аутентификации на серверах, сгенерированных smithy-rs.

Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18140 - Uncontrolled recursion in the aws-smithy-json unknown-key skip path allows unauthenticated remote denial of service in smithy-rs generated servers aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

CVE-2026-16796 - Некорректная нейтрализация разделителей аргументов в функции install_packages() Python SDK AWS Bedrock AgentCore

Идентификатор бюллетеня: 2026-065-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 23.07.2026 13:00 PDTОписание:Python SDK AWS Bedrock AgentCore (bedrock-agentcore) предоставляет инструменты для создания ИИ-агентов, включая клиент Code Interpreter, который устанавливает пакеты Python в управляемую песочницу. Мы выявили CVE-2026-16796, неправильную нейтрализацию разделителей аргументов в методе install_packages(), которая может позволить удаленному аутентифицированному пользователю выполнять произвольные команды в песочнице Code Interpreter через специально сформированные аргументы имени пакета.Затронутые версии: bedrock-agentcore версии <1.18.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-16796 - Improper neutralization of argument delimiters in AWS Bedrock AgentCore Python SDK install_packages() aws.amazon.com
RSS Hunter RSS Hunter • 23 июл.

CVE-2026-16756 - Выделение ресурсов без ограничений в стандартном пути serve() aws-smithy-http-server позволяет неаутентифицированным атакам типа "отказ в обслуживании" (Slowloris).

Идентификатор бюллетеня: 2026-064-AWS Область применения: AWS Тип контента: Важное (требует внимания) Дата публикации: 23.07.2026 11:30 PDTОписание:Smithy-RS — это фреймворк для генерации кода и времени выполнения на языке Rust, который генерирует HTTP-клиенты и серверы из определений интерфейсов Smithy, обеспечивая работу AWS SDK для Rust и пользовательских реализаций сервисов. Мы выявили CVE-2026-16756, при котором выделение ресурсов без ограничений в стандартном пути serve() aws-smithy-http-server позволяет проводить отказ в обслуживании типа "Slowloris" без аутентификации.Затронутые версии: aws-smithy-http-server <= 0.66.4Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-16756 - Allocation of resources without limits in the default aws-smithy-http-server serve() path allows unauthenticated Slowloris denial of service aws.amazon.com
RSS Hunter RSS Hunter • 23 июл.

CVE-2026-16584 - Обход политики безопасности сервера AWS API MCP через сбой при запуске

Выпущено важное уведомление по безопасности для AWS. Проблема затрагивает открытый сервер AWS API MCP, названный awslabs.aws-api-mcp-server. Этот сервер позволяет ИИ-ассистентам выполнять команды AWS CLI. Он имеет необязательную политику безопасности, предназначенную для запрета или ограничения определенных операций AWS. В процессе запуска сервера была обнаружена уязвимость CVE-2026-16584. Если инициализация политики безопасности сервера завершается неудачно, он продолжает работать без проверки политик для каждого запроса. Когда режимы "закрыто при сбое" не включены в политике безопасности, могут быть выполнены несанкционированные операции AWS API. Эти операции в противном случае были бы запрещены или ограничены политикой. Важно отметить, что базовые разрешения IAM для учетных данных остаются активными и не изменяются этой уязвимостью. Затронутые версии сервера AWS API MCP — это версии, начиная с 0.2.13 и до 1.3.47. Пользователям рекомендуется ознакомиться с предоставленной статьей для получения самой актуальной и полной информации.
CVE-2026-16584 - AWS API MCP Server Security Policy Bypass via Startup Failure aws.amazon.com
RSS Hunter RSS Hunter • 23 июл.

CVE-2026-16317 и CVE-2026-16318: Проблемы с s2n-tls: реализация протоколов TLS/SSL с открытым исходным кодом

AWS выпустила важное уведомление о двух уязвимостях в своей библиотеке s2n-tls. Первая, CVE-2026-16317, представляет собой незаметное отбрасывание зашифрованных записей TLS 1.3. Эта ошибка позволяет злоумышленнику типа "человек посередине" незаметно удалять отдельные записи данных. Проблема возникает из-за того, что байт внешнего типа содержимого не проверяется на соответствие требуемому значению application_data в TLS 1.3. Следовательно, эта уязвимость затрагивает все соединения TLS 1.3 как для клиентов, так и для серверов. Соединения TLS 1.2 и QUIC не затронуты этой конкретной проблемой. Вторая уязвимость, CVE-2026-16318, представляет собой утечку памяти в параметрах транспорта QUIC. Это происходит во время фазы HelloRetryRequest соединений TLS 1.3 с поддержкой QUIC. Неправильное управление выделением памяти приводит к утечке при каждой обработке HelloRetryRequest. Это может привести к увеличению использования памяти на серверах, работающих длительное время. Только развертывания, использующие QUIC, затронуты этой утечкой памяти. Обе уязвимости затрагивают версии s2n-tls до v1.7.5 включительно. Пользователям рекомендуется ознакомиться со статьей по ссылке для получения полной информации.
CVE-2026-16317 and CVE-2026-16318: Issues with s2n-tls: an open-source implementation of the TLS/SSL protocols aws.amazon.com
RSS Hunter RSS Hunter • 21 июл.

CVE-2026-15957 - Неконтролируемая рекурсия в сгенерированных smithy-rs десериализаторах JSON, CBOR и XML позволяет неаутентифицированным удаленным пользователям вызвать отказ в обслуживании через рекурсивные структуры.

Идентификатор бюллетеня: 2026-061-AWS Область: AWS Тип контента: Важное (требует внимания) Дата публикации: 21.07.2026 12:45 PDTОписание:Smithy-RS — это фреймворк для генерации кода и времени выполнения на языке Rust, который генерирует HTTP-клиенты и серверы из определений интерфейсов Smithy, обеспечивая работу AWS SDK для Rust и пользовательских реализаций сервисов. Мы выявили CVE-2026-15957, при котором неконтролируемая рекурсия в функциях десериализации JSON, CBOR и XML, генерируемых Amazon smithy-rs, может позволить третьей стороне вызвать отказ в обслуживании (аварийное завершение процесса из-за исчерпания стека) посредством небольшого запроса, содержащего глубоко вложенные данные для рекурсивной формы модели, к сгенерированному SDK или серверу.Затронутые версии: крейты aws-sdk-rust < release-2026-06-0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15957 - Uncontrolled recursion in smithy-rs generated JSON, CBOR, and XML deserializers allows unauthenticated remote denial of service via recursive shapes aws.amazon.com
RSS Hunter RSS Hunter • 21 июл.

CVE-2026-15415 - Обход каталога и произвольная запись файлов в обработчиках рабочих процессов сервера aws-healthomics-mcp

Идентификатор бюллетеня: 2026-060-AWS Область действия: AWS Тип контента: Важно (требует внимания) / Информационный Дата публикации: 17.07.2026 12:45 PDTОписание:AWS HealthOmics — это сервис, соответствующий требованиям HIPAA, который полностью управляет инфраструктурой вычислений, хранения данных и движком рабочих процессов, необходимых для масштабирования биоинформатических анализов для клинической диагностики, открытия лекарств и сельскохозяйственных исследований. Мы выявили CVE-2026-15415, при котором некорректное ограничение пути к файлу в ограниченном каталоге в инструментах линтинга AWS HealthOmics MCP Server (aws-healthomics-mcp-server) до версии 0.0.36 может позволить злоумышленнику, который может влиять на агент MCP, записывать контролируемый злоумышленником контент в произвольные места за пределами предполагаемого каталога пакета рабочего процесса через последовательности обхода каталога во входных данных workflow_files.Затронутые версии: aws-healthomics-mcp-server <= 0.0.35Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15415 - Path traversal and arbitrary file write in the workflow linters of aws-healthomics-mcp-server aws.amazon.com
RSS Hunter RSS Hunter • 17 июл.

CVE-2026-12283 - Проблема с коннектором Synapse для Athena Federated Query

ID бюллетеня: 2026-059-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 17.07.2026 12:00 PDT Описание: Amazon Athena — это бессерверный интерактивный сервис запросов, который позволяет анализировать данные непосредственно в Amazon S3 с использованием стандартного SQL. Athena Query Federation — это функция, позволяющая подключаться к источникам данных вне Amazon S3, таким как DynamoDB, Azure Synapse и пользовательским коннекторами с использованием стандартного SQL-синтаксиса. Эти коннекторы имеют открытый исходный код и регулярно внедряются в сервис Athena. Мы выявили CVE-2026-12283. Пользователь с доступом к учетной записи Azure Synapse может создать таблицу с специально созданным именем, которая при запросе через коннектор Athena Synapse может привести к возврату нежелательных данных. Изменённые версии: - версии >= v2022.20.1 (выпущена 19.05.2022) И - версии <= v2026.19.1 (выпущены 28.05.2026) Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-12283 - Issue with Athena Federated Query Synapse Connector aws.amazon.com
RSS Hunter RSS Hunter • 17 июл.

CVE-2026-15895: Внедрение команд ОС в jsii-diff в AWS jsii

Идентификатор бюллетеня: 2026-057-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 15.07.2026 12:00 PDTОписание:jsii-diff — это инструмент командной строки для сравнения различий в API между двумя сборками jsii и сообщения об ошибках в случае обратно несовместимых изменений в API. Мы выявили CVE-2026-15895, проблему, при которой специально отформатированные аргументы командной строки могут использоваться для выполнения команд оболочки через этот инструмент.Затронутые версии: < 1.131.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15895: OS command injection in jsii-diff in AWS jsii aws.amazon.com
RSS Hunter RSS Hunter • 16 июл.

CVE-2026-15737 - Раскрытие конфиденциального содержимого через OpenTelemetry spans в AgentCore Python SDK

Идентификатор бюллетеня: 2026-058-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 16.07.2026 10:15 PDTОписание:Bedrock AgentCore Python SDK (bedrock-agentcore) — это библиотека Python с открытым исходным кодом, предоставляющая клиентские инструменты для создания ИИ-агентов на платформе Amazon Bedrock AgentCore. Мы выявили CVE-2026-15737 в инструментировании OpenTelemetry SDK. Затронутые версии записывали необработанные пользовательские запросы и полные ответы агента в атрибуты span OpenTelemetry при каждом вызове без фильтрации или маскирования. Эти span передаются в группу журналов CloudWatch клиента aws/spans, где локальный аутентифицированный пользователь с доступом на чтение журналов CloudWatch мог получить доступ к потенциально конфиденциальному содержимому.Затронутые версии: 1.4.8, 1.5.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15737 - Sensitive content disclosure via OpenTelemetry spans in AgentCore Python SDK aws.amazon.com
RSS Hunter RSS Hunter • 16 июл.

CVE-2026-15746 - Раскрытие учетных данных в инструменте elasticsearch_memory инструментов Strands Agents

Strands Agents — это SDK с открытым исходным кодом на Python для создания ИИ-агентов. Связанный пакет, strands-agents-tools, предлагает готовые инструменты, включая инструмент elasticsearch_memory. Этот инструмент используется для хранения памяти агента. В инструменте elasticsearch_memory была обнаружена уязвимость подделки серверных запросов (SSRF), CVE-2026-15746. Параметры подключения инструмента были доступны большой языковой модели через ее схему. Когда вызывающий абонент не указывал api_key, инструмент использовал переменную окружения оператора ELASTICSEARCH_API_KEY. Эта переменная затем отправлялась на хост, указанный языковой моделью. Вредоносный запрос мог обмануть инструмент, заставив его подключиться к серверу, контролируемому злоумышленником. Это соединение затем раскрывало ключ API Elasticsearch оператора. Уязвимость затрагивает версии программного обеспечения до 0.7.0.
CVE-2026-15746 - Credential disclosure in Strands Agents Tools elasticsearch_memory tool aws.amazon.com
RSS Hunter RSS Hunter • 15 июл.

CVE-2026-15738 - Проблема с перехватом трафика между пространствами имен в AWS Load Balancer Controller через порядок приоритета HTTPRoute/GRPCRoute

Идентификатор бюллетеня: 2026-055-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 14.07.2026 13:30 PDTОписание:AWS Load Balancer Controller — это контроллер Kubernetes с открытым исходным кодом, который управляет ресурсами AWS Elastic Load Balancing для кластеров Kubernetes. Мы выявили CVE-2026-15738, проблему неправильного порядка приоритета правил в логике генерации правил прослушивателя Gateway API. Когда HTTPRoute и GRPCRoute присоединены к одному и тому же прослушивателю Application Load Balancer (ALB) HTTPS с одинаковым именем хоста, контроллер назначает приоритеты правил прослушивателя ALB на основе типа маршрута, а не специфичности маршрута. Это приводит к тому, что все правила, производные от HTTPRoute, получают меньшие номера приоритета ALB, оцениваемые ALB первыми, чем правила, производные от GRPCRoute, независимо от того, какой маршрут является более специфичным. Пользователь с областью действия пространства имен, имеющий разрешение на создание объектов HTTPRoute в пространстве имен, разрешенном общим шлюзом, может создать универсальный HTTPRoute, который перехватывает трафик, предназначенный для более специфичного GRPCRoute в другом пространстве имен.Затронутые версии: AWS Load Balancer Controller v3.4.1 и любая версия, включающая поддержку присоединения HTTPRoute и GRPCRoute к одному и тому же прослушивателю (введено в PR #4794)Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15738 - Issue with AWS Load Balancer Controller Cross-Namespace Traffic Interception via HTTPRoute/GRPCRoute Priority Ordering aws.amazon.com
RSS Hunter RSS Hunter • 14 июл.

CVE-2026-15643 - AWS HealthLake MCP Server SSRF через непроверенный URL пагинации

Идентификатор бюллетеня: 2026-054-AWS Область: AWS Тип контента: Важное (требует внимания) Дата публикации: 14.07.2026 13:00 PDTОписание:AWS HealthLake MCP Server (awslabs.healthlake-mcp-server) — это сервер протокола контекста модели, который позволяет ИИ-ассистентам взаимодействовать с хранилищами данных AWS HealthLake FHIR. Мы выявили CVE-2026-15643, уязвимость подделки запросов на стороне сервера в компоненте обработки пагинации в AWS awslabs.healthlake-mcp-server до версии 0.0.14 на всех платформах, которая может позволить удаленному аутентифицированному пользователю извлечь временные учетные данные безопасности AWS на произвольный конечный пункт назначения через специально сформированный параметр next_token. Сервер не проверяет, что URL-адреса пагинации указывают обратно на ожидаемый конечный пункт HealthLake, что позволяет злоумышленнику перенаправлять последующие запросы на контролируемый злоумышленником сервер.Затронутые версии: < 0.0.14Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15643 - AWS HealthLake MCP Server SSRF via Unvalidated Pagination URL aws.amazon.com
RSS Hunter RSS Hunter • 14 июл.

CVE-2026-14904 - Некорректное разрешение ссылок в Auth.GetUserPrivateKey в AWS Research and Engineering Studio

Идентификатор бюллетеня: 2026-053-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 07.07.2026 09:45 PDTОписание:AWS Research and Engineering Studio (RES) — это решение с открытым исходным кодом, которое позволяет исследователям и инженерам создавать и управлять безопасными виртуальными рабочими столами и вычислительными ресурсами в AWS.Мы выявили проблему неправильного разрешения ссылок перед доступом к файлам (CWE-59) в API Auth.GetUserPrivateKey. Аутентифицированный удаленный пользователь мог читать произвольные файлы на экземпляре EC2 cluster-manager, заменяя свой файл закрытого ключа SSH (~/.ssh/id_rsa) символической ссылкой, указывающей на любой файл на хосте. Поскольку процесс cluster-manager выполняется от имени root, любой файл, доступный для чтения root, становится доступным, включая закрытые ключи SSH других пользователей и секреты конфигурации приложений.Затронутые версии: <=2026.03Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-14904 - Improper Link Resolution in Auth.GetUserPrivateKey in AWS Research and Engineering Studio aws.amazon.com
RSS Hunter RSS Hunter • 7 июл.

CVE-2026-14471 - Аутентифицированная SQL-инъекция в подсистеме политики хранения метрик-сервиса mcp-gateway-registry

ID бюллетеня: 2026-052-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 07/06/2026 13:45 PDT Описание: Amazon mcp-gateway-registry — это открытый шлюз и реестр для серверов Model Context Protocol (MCP), обеспечивающий централизованное обнаружение, аутентификацию/авторизацию и прокси MCP-инструментов для AI-агентов. Мы выявили CVE-2026-14471 — проблему в компоненте управления политикой хранения сервисов метрик, где значение table_name, предоставленное вызывающим, интерполируется в SQL-операторы в позиции идентификатора без надлежащей нейтрализации. Аутентифицированный удалённый пользователь может предоставить созданное значение table_name для выполнения произвольных SQL-запросов к базе данных метрик. Это позволяет пользователю читать хранящиеся данные (включая материал ключа API) и удалять или изменять сохранённые данные. Изменённые версии: >=1.0.3 И <=1.0.12 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-14471 - Authenticated SQL injection in the metrics-service retention policy subsystem of mcp-gateway-registry aws.amazon.com
RSS Hunter RSS Hunter • 6 июл.

CVE-2026-14265 - Десериализация недоверенных данных в AWS Advanced JDBC Wrapper RemoteQueryCachePlugin

ID бюллетеня: 2026-051-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 01.07.2026 12:45 PDT Описание: AWS Advanced JDBC Wrapper — это обёртка драйверов JDBC с открытым исходным кодом, которая расширяет драйвер JDBC для включения функций Amazon Aurora и AWS Cloud, таких как обработка отказа и кэширование. Мы выявили CVE-2026-14265 — проблему в RemoteQueryCachePlugin AWS Advanced JDBC Wrapper. Когда этот плагин включен, результаты запросов, прочитанные из общего кэша Redis/Valkey, десериализируются без фильтрации классов. Актор с доступом на запись в инфраструктуру общего кэша мог вставить сформированный сериализованный объект Java, который при чтении приложением приводит к выполнению произвольного кода на сервере приложения. Изменённые версии: >=3.3.0 И <=4.0.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-14265- Deserialization of Untrusted Data in AWS Advanced JDBC Wrapper RemoteQueryCachePlugin aws.amazon.com
RSS Hunter RSS Hunter • 1 июл.

CVE-2026-13760 - Внедрение команд ОС в Docker-бандлинг NodejsFunction в aws-cdk-lib

Идентификатор бюллетеня: 2026-050-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 01.07.2026 12:15 PDTОписание:AWS CDK (aws-cdk-lib) — это фреймворк с открытым исходным кодом для определения облачной инфраструктуры в виде кода и ее предоставления через AWS CloudFormation. Мы выявили CVE-2026-13760, проблему внедрения команд ОС в конвейере сборки Docker для NodejsFunction в aws-cdk-lib до версии 2.260.0, которая может позволить злоумышленнику, контролирующему строки версий зависимостей в файле package.json проекта, выполнять произвольные команды на хосте, где работает инструментарий CDK, посредством внедренных метасимволов оболочки в помощнике OsCommand. Эта проблема требует, чтобы злоумышленник контролировал содержимое строки версии зависимости package.json, которая обрабатывается во время сборки на основе Docker с указанным параметром nodeModules.Затронутые версии: < 2.260.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-13760 - OS Command Injection in NodejsFunction Docker Bundling in aws-cdk-lib aws.amazon.com
RSS Hunter RSS Hunter • 1 июл.

CVE-2026-13769 – Небезопасные разрешения файлов в AWS CLI

Идентификатор бюллетеня: 2026-049-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 07.01.2026 11:45 PDTОписание:AWS Command Line Interface (AWS CLI) — это унифицированный инструмент для управления службами AWS из командной строки. Мы выявили CVE-2026-13769 в AWS CLI в Unix-подобных системах, где umask не был настроен для ограничения разрешений файлов (по умолчанию на большинстве систем), что привело к записи файлов учетных данных и конфигурации с разрешениями, доступными для чтения всем пользователям. Это позволяет другим локальным пользователям на том же хосте читать учетные данные.Затронутые версии: <=1.44.77 (v1) И <=2.34.28 (v2)Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-13769 – Insecure file permissions in AWS CLI aws.amazon.com
RSS Hunter RSS Hunter • 1 июл.

CVE-2026-13762 и CVE-2026-13763 — проблема с проверкой тела запроса HTTP/2, состоящего из нескольких кадров, в AWS WAF

Идентификатор бюллетеня: 2026-048-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 29.06.2026 23:15 PDTОписание:AWS WAF — это межсетевой экран веб-приложений, который отслеживает HTTP(S) запросы, перенаправляемые на ваши защищенные ресурсы веб-приложений. Мы выявили CVE-2026-13762 и CVE-2026-13763, которые являются проблемами, затрагивающими проверку тела запроса HTTP/2 с несколькими кадрами с помощью AWS WAF.CVE-2026-13762 затрагивает развертывание AWS WAF с CloudFront. Эта проблема была устранена на стороне сервера; никаких действий со стороны клиента не требуется.CVE-2026-13763 затрагивает развертывание AWS WAF с AWS Application Load Balancer (ALB). При определенных условиях специально сформированный HTTP/2 запрос с несколькими кадрами мог привести к проверке только части тела запроса. Эта проблема была устранена в ALB, и клиенты могут обеспечить полную защиту, настроив, как AWS WAF проверяет тела HTTP/2 запросов на своих ALB.Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-13762 and CVE-2026-13763 - Issue with HTTP/2 multi-frame request body inspection in AWS WAF aws.amazon.com
RSS Hunter RSS Hunter • 29 июн.

CVE-2026-12957 и CVE-2026-12958 — проблемы в языковых серверах для плагинов AWS и Amazon Q Developer

AWS выпустила важный бюллетень безопасности, касающийся языковых серверов для плагинов IDE AWS и Amazon Q Developer. Были выявлены две уязвимости, требующие немедленного внимания. Первая, CVE-2026-12957, представляет собой проблему некорректного применения границ доверия, присутствующую в версиях до 1.65.0. Это может привести к автоматическому выполнению команд, если локальный пользователь откроет специально созданное рабочее пространство и доверит его. Вторая уязвимость, CVE-2026-12958, связана с отсутствием проверки символических ссылок. Она затрагивает версии до 1.69.0 и может быть использована через злонамеренно созданную символическую ссылку, указывающую за пределы рабочего пространства. Обе уязвимости присутствуют в плагинах IDE Amazon Q Developer, которые используют эти языковые серверы. Эти критические проблемы устранены в языковых серверах для AWS версии 1.69.0. Затронутые продукты включают различные версии плагинов IDE Amazon Q Developer для VS Code, JetBrains, Eclipse и Visual Studio. Пользователям настоятельно рекомендуется обновиться до последних версий, чтобы снизить эти риски. Дополнительные сведения и самую актуальную информацию можно найти в прилагаемом бюллетене безопасности AWS.
CVE-2026-12957 and CVE-2026-12958 - Issues in Language Servers for AWS and Amazon Q Developer Plugins aws.amazon.com
RSS Hunter RSS Hunter • 23 июн.

Проблема с плагином CRI containerd - CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262

Amazon Web Services (AWS) выпустила критический бюллетень, касающийся уязвимостей в containerd, среде выполнения контейнеров, используемой Kubernetes. Были выявлены пять конкретных проблем в плагине CRI containerd. Эти уязвимости затрагивают версии 1.7 по 2.3 containerd. Выявленные CVE включают отравление локальных тегов изображений, выполнение команд через конфигурацию изображения, контрабанду аннотаций CDI, чтение произвольных файлов хоста и атаку типа «отказ в обслуживании», вызванную изображениями. Эти проблемы влияют на ряд управляемых контейнерных сервисов AWS, включая Amazon EKS, Amazon ECS, AWS Fargate, Bottlerocket и Amazon Linux. Бюллетень призывает пользователей внимательно отнестись к этим результатам безопасности. Пользователям следует ознакомиться со статьей по ссылке для получения наиболее актуальной и полной информации. Возможно, потребуется немедленное действие для смягчения потенциальных рисков.
Issue with containerd CRI Plugin - CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262 aws.amazon.com
RSS Hunter RSS Hunter • 19 июн.

CVE-2026-12530 - Некорректная нейтрализация разделителей аргументов в функции install_packages() Python SDK AWS Bedrock AgentCore

AWS выпустила бюллетень безопасности, касающийся Python SDK Bedrock AgentCore. В методе install_packages() клиента Code Interpreter была обнаружена уязвимость, обозначенная как CVE-2026-12530. Этот метод не смог должным образом очистить аргументы имен пакетов, используемые в командах оболочки. В частности, неполный черный список позволил специально сформированным входным данным обойти проверку. Этот обход мог использовать флаг --index-url pip для перенаправления установки пакетов на вредоносный сторонний сервер. Кроме того, флаг -r мог быть использован для чтения и раскрытия произвольных файлов в песочнице Code Interpreter. Уязвимые версии SDK варьируются от 1.1.3 до 1.6.1 (не включая ее). Разработчикам, использующим эти версии, настоятельно рекомендуется принять немедленные меры. Дополнительные сведения и самую актуальную информацию можно найти в предоставленной статье.
CVE-2026-12530 - Improper neutralization of argument delimiters in AWS Bedrock AgentCore Python SDK install_packages() aws.amazon.com
RSS Hunter RSS Hunter • 17 июн.

CVE-2026-11931 - Небезопасные разрешения для файла кэша токенов аутентификации в Kiro IDE

Идентификатор бюллетеня: 2026-045-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 15.06.2026 11:45 PDTОписание:Kiro IDE — это агентная среда разработки, которая позволяет разработчикам легко выполнять реальную инженерную работу с помощью ИИ-агентов.Мы выявили CVE-2026-11931, при котором неправильные разрешения по умолчанию в Kiro IDE на macOS и Linux до версии 0.11.133 могли раскрыть файл кэша токенов аутентификации другим локальным пользователям или процессам через права на чтение всем (0644) вместо прав, ограниченных владельцем (0600).Затронутые версии: < 0.11.133Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-11931 - Insecure Permissions on Authentication Token Cache File in Kiro IDE aws.amazon.com
RSS Hunter RSS Hunter • 15 июн.

CVE-2026-12043 — Двойное освобождение кучи в AWS Common Runtime aws-c-http

ID бюллетеня: 2026-043-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 06/12/2026 11:45 AM PDT Описание: AWS Common Runtime aws-c-http — это HTTP-клиентская библиотека, используемая AWS SDK для обработки http-запросов к AWS-сервисам. Мы выявили CVE-2026-12043 — проблему, при которой неправильная обработка обновлений размера размеров таблиц HPACK в библиотеке AWS Common Runtime aws-c-http может позволить удалёному актору, управляющему сервером, вызвать повреждение памяти в подключённом клиентском приложении, что потенциально может привести к произвольному выполнению кода через созданную последовательность кадров HTTP/2 HEADERS. Затронутые версии: aws-c-http >= 0.4.22 И <= 0.10.15 Представлены в следующих версиях SDK: - AWS-SDK-CPP >= 1.11.41, <= 1.11.814 - AWS-SDK-Java-V2 >= 2.44.27, <= 2.44.14 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-12043 - Heap double-free in AWS Common Runtime aws-c-http aws.amazon.com
RSS Hunter RSS Hunter • 12 июн.

CVE-2026-10740 - Чрезмерное выделение памяти в s2n-quic

Идентификатор бюллетеня: 2026-042-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 06.10.2026 11:15 PDTОписание:s2n-quic — это реализация протокола QUIC на языке Rust. Мы выявили CVE-2026-10740, проблему неограниченного выделения памяти в сборщике кадров CRYPTO в s2n-quic до версии 1.82.0. Неаутентифицированный пользователь может попытаться исчерпать память сервера в конечной точке s2n-quic, отправляя специально сформированные кадры CRYPTO с большими смещениями. Буфер, используемый для обработки кадров CRYPTO, не имеет ограничения по максимальному размеру. В худшем случае один пакет размером 1200 байт может привести к выделению примерно 9,4 МБ. Повторная отправка таких пакетов может привести к отказу в обслуживании из-за нехватки памяти. Действительное рукопожатие не требуется.Затронутые версии: < v1.82.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-10740 - Excessive memory allocation in s2n-quic aws.amazon.com
RSS Hunter RSS Hunter • 10 июн.

CVE-2026-10740 - Чрезмерное выделение памяти в s2n-quic

Идентификатор бюллетеня: 2026-041-AWS Область применения: AWS Тип контента: Важно (требует внимания) Дата публикации: 06.10.2026 10:45 PDTОписание:AWS CDK (aws-cdk-lib) — это фреймворк с открытым исходным кодом для определения облачной инфраструктуры в виде кода и ее предоставления через AWS CloudFormation. Мы выявили CVE-2026-11417, проблему внедрения команд ОС в конвейере локальной упаковки NodejsFunction в aws-cdk-lib до версии 2.245.0 (2.246.0 для Windows), которая может позволить злоумышленнику, контролирующему значение одного или нескольких свойств упаковки (externalModules, define, loader, inject или esbuildArgs), выполнять произвольные команды на хосте, где работает инструментарий CDK, посредством внедренных метасимволов оболочки. Эта проблема требует, чтобы злоумышленник контролировал значение одного или нескольких затронутых свойств упаковки в приложении CDK.Затронутые версии: < 2.245.0 (для Windows, < 2.246.0)Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-10740 - Excessive memory allocation in s2n-quic aws.amazon.com
RSS Hunter RSS Hunter • 10 июн.

CVE-2026-11393 - Внедрение кода через неправильное экранирование тройных кавычек в AgentCore CLI Bedrock Agent Import

ID бюллетеня: 2026-040-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 06/08/2026 11:45 AM PDT Описание: AWS AgentCore CLI (@aws/agentcore) — это инструмент для разработчиков для управления жизненным циклом инфраструктуры агентов на Amazon Bedrock AgentCore. Мы выявили CVE-2026-11393, в котором неправильная нейтрализация символов с тремя кавычками при генерации кода на Python может позволить аутентифицированному пользователю в той же учетной записи AWS внедрить произвольный код на Python в исходный файл, сгенерированный командой «agentcore add agent ‐‐type import». В частности, поле collaborationInstruction ассоциации Bedrock Agent было интерполировано в тройную кавычечную Python-docstring с использованием выхода из однокавычных вместо тройных кавычек. Пользователь с разрешением Foundrock:AssociateAgentCollaborator IAM мог создать значение collaborationInstruction, содержащее «"", чтобы выйти за пределы docstring в сгенерированном main.py импортируемого агента. Если этот сгенерированный файл впоследствии выполнялся — либо через agentcore dev на локальной машине разработчика, либо через agentcore deployment с последующим вызовом agentcore в среде AgentCore Runtime — введённый Python запускался с доступными в данном контексте учетными данными. Изменённые версии: - @aws/agentcore >= 0.4.0 И <= 0.14.1 - предпросмотр версий >= 0.3.0-preview.7.0 и <= 1.0.0-preview.8 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-11393 - Code Injection via Improper Triple-Quote Escaping in AgentCore CLI Bedrock Agent Import aws.amazon.com
RSS Hunter RSS Hunter • 8 июн.

CVE-2026-11400 и CVE-2026-11401

ID бюллетеня: 2026-039-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 06/025/2026 12:15 PDT Описание: Amazon Aurora PostgreSQL — полностью управляемый реляционный движок баз данных, совместимый с PostgreSQL. Мы выявили CVE-2026-11400 (JDBC) и CVE-2026-11401(Go) — проблему в AWS Wrappers для Amazon Aurora PostgreSQL позволит повысить привилегии rds_superuser роли. Пользователь с низкой аутентификацией может создать созданную функцию, которую можно выполнить с разрешениями других пользователей Amazon Relational Database Service (RDS). Затронутые версии: - AWS Advanced JDBC Wrapper >=3.0.0 и < 4.0.1 - Релиз AWS Advanced Go Wrapper 2026-04-06 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-11400 and CVE-2026-11401 aws.amazon.com
RSS Hunter RSS Hunter • 5 июн.

CVE-2026-10584 - Откат HTTPS к HTTP в Graph Explorer

ID бюллетеня: 2026-038-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 06/02/2026 12:15 PDT Описание: Graph Explorer — это приложение с открытым исходным кодом, обеспечивающее визуализацию и исследование данных в графовых базах данных, таких как Amazon Neptune. Мы определили CVE-2026-10584, когда при определённых обстоятельствах сервер тихо возвращается к HTTP, когда HTTPS включён, но сертификаты недоступны, что приводит к передаче чувствительной информации в открытом виде. Изменённые версии: >= 1.1.0 И < 3.0.1 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-10584 - HTTPS Fallback to HTTP in Graph Explorer aws.amazon.com
RSS Hunter RSS Hunter • 2 июн.

CVE-2026-10591 - Kiro IDE Недостаточные ограничения записи файлов в пути, чувствительные к выполнению

Идентификатор бюллетеня: 2026-037-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 06.02.2026 08:45 PDTОписание:Kiro — это агентная IDE, которую пользователи устанавливают на свой рабочий стол. Мы выявили CVE-2026-10591. Недостаточные ограничения контроля доступа в инструменте записи файлов в Kiro IDE до версии 0.11 могут позволить удаленным неаутентифицированным злоумышленникам выполнять произвольные команды через специально созданные инструкции, которые вызывают запись в пути, чувствительные к выполнению (например, .vscode/tasks.json), что позволяет автоматическое выполнение при открытии папки.Затронутые версии: <0.11Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-10591 - Kiro IDE Insufficient File Write Restrictions to Execution-Sensitive Paths aws.amazon.com
RSS Hunter RSS Hunter • 2 июн.

CVE-2026-9291 - Небезопасная десериализация при обработке результатов заданий в Amazon Braket SDK

Обнаружена критическая уязвимость в безопасности SDK Amazon Braket, затрагивающая версии с 1.10.0 по 1.116.9. Эта уязвимость, идентифицированная как CVE-2026-9291, связана с небезопасной десериализацией при обработке результатов заданий. Функция deserialize_values() некорректно доверяет полю dataFormat из JSON-файлов. Это поле управляет использованием pickle.loads() для обработки данных. Злоумышленник с доступом на запись в S3 может использовать этот недостаток. Он может манипулировать полем dataFormat, чтобы вызвать выполнение произвольного кода. В частности, он может изменить формат на pickled_v4 и внедрить вредоносный код. Это позволяет удаленным аутентифицированным пользователям выполнять код на машинах, обрабатывающих результаты заданий. Это может привести к компрометации систем, анализирующих результаты квантовых заданий. Пользователям настоятельно рекомендуется ознакомиться со статьей для получения подробной информации. Немедленные действия необходимы для устранения этого значительного риска безопасности.
CVE-2026-9291 - Insecure Deserialization in Amazon Braket SDK Job Results Processing aws.amazon.com
RSS Hunter RSS Hunter • 22 мая

CVE-2026-9255 - Выполнение инструмента без авторизации через перенаправленный stdin в Kiro CLI

Идентификатор бюллетеня: 2026-035-AWS Область применения: AWS Тип контента: Важно (требует внимания) Дата публикации: 22.05.2026 09:45 PDTОписание:Kiro CLI - это помощник по кодированию с искусственным интеллектом, который позволяет разработчикам взаимодействовать с моделями ИИ для выполнения кода, управления файлами и запуска команд оболочки. Мы выявили CVE-2026-9255, проблему, при которой отсутствие проверки источника ввода в запросе авторизации инструмента может позволить локальному злоумышленнику выполнять произвольные инструменты, включая команды оболочки, без одобрения пользователя, путем создания контента, который передается в kiro-cli через stdin.Затронутые версии: kiro-cli до 1.28.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, относящейся к этому бюллетеню безопасности AWS.
CVE-2026-9255 - Tool Execution Without Authorization via Piped Stdin in Kiro CLI aws.amazon.com
RSS Hunter RSS Hunter • 22 мая

CVE-2026-9133 - Произвольное чтение файлов в плагине rabbitmq-aws

ID бюллетеня: 2026-034-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 20.05.2026 12:45 PM PDT Описание: rabbitmq-aws — это плагин RabbitMQ, который разрешает ARN AWS в конфигурации брокера при запуске, получая секреты (например, сертификаты TLS, приватные ключи, пароли) из сервисов AWS (Secrets Manager, S3, ACM Private CA) и передавая их в память в RabbitMQ. Мы выявили CVE-2026-9133 — активную проблему отладочного кода в резолвере ARN плагина. Схема отладки ARN (arn:aws-debug:file), принятая конечной точкой валидации PUT /api/aws/arn/validate, может позволить удалённые аутентифицированные пользователи выполнять произвольные чтения файлов для любого файла, доступного процессу RabbitMQ. Код отладки был случайно выпущен в производственных сборках без механизма отключения. Изменённые версии: >=0.1.0, <=0.2.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-9133 - Arbitrary file read in rabbitmq-aws plugin aws.amazon.com
RSS Hunter RSS Hunter • 20 мая

CVE-2026-8838 - удаленное выполнение кода в amazon-redshift-python-driver

Идентификатор бюллетеня: 2026-033-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 18.05.2026 13:45 PM PDTОписание:amazon-redshift-python-driver - официальный коннектор Python для Amazon Redshift. Мы выявили проблему внедрения кода в версиях 2.1.13 и более ранних, которая может позволить недобросовестному серверу или посреднику выполнять произвольный код на клиенте.Затронутые версии: <=2.1.13Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, относящейся к этому бюллетеню безопасности AWS.
CVE-2026-8838 - Remote Code Execution in amazon-redshift-python-driver aws.amazon.com
RSS Hunter RSS Hunter • 18 мая

CVE-2026-8686 - Чтение за пределами границ кучи при разборе свойств MQTT5 в coreMQTT

Идентификатор бюллетеня: 2026-032-AWS Область применения: AWS Тип контента: Важно (требует внимания) Дата публикации: 15.05.2026 11:45 PDTОписание:coreMQTT — это облегченная клиентская библиотека MQTT для встраиваемых устройств. Мы выявили CVE-2026-8686, проблему, при которой отсутствие проверки границ в парсере свойств SUBACK и UNSUBACK MQTT v5.0 в coreMQTT до версии 5.0.1 позволяет брокеру MQTT вызвать отказ в обслуживании (сбой из-за чтения за пределами кучи) путем отправки специально сформированного пакета.Затронутые версии: v5.0.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, относящейся к этому бюллетеню безопасности AWS.
CVE-2026-8686 - Heap out-of-bounds read in coreMQTT MQTT5 property parsing aws.amazon.com
RSS Hunter RSS Hunter • 15 мая