TheNote
AWS Latest Bulletins на русско... Заметка
GooglePlay AppStore

AWS Latest Bulletins на русском

Указанная веб-страница AWS посвящена бюллетеням безопасности. Это один из надежных источников распространения информации о последних уведомлениях и обновлениях системы безопасности. Бюллетени в основном охватывают рекомендации по безопасности, внеполосные исправления и другие обновления безопасности продуктов. Эти бюллетени позволяют пользователям быть в курсе последних событий в области безопасности, обеспечивая безопасность и соответствие их инфраструктуры нормативным требованиям.
Latest Bulletins aws.amazon.com
RSS aws.amazon.com
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

CVE-2026-119115 - Некорректная авторизация при разрешении издателя в AWS Private CA Connector for Kubernetes

Идентификатор бюллетеня: 2026-156-AWS Дата публикации: 29.10.2026 09:30 PDTОписание:Мы осведомлены о CVE-2026-119115, проблеме некорректной авторизации в логике разрешения издателя. В затронутых версиях, при определенных условиях, аутентифицированный пользователь, чья политика утверждения разрешает только издателя, ограниченного областью видимости пространства имен, мог получить сертификаты, включая подчиненные сертификаты ЦС, подписанные издателем, ограниченным областью видимости кластера, который он не имеет права использовать.Затронутые версии: - aws-privateca-issuer до v1.10.1 - AWS Private CA Connector для Kubernetes EKS add-on до v1.10.1-eksbuild.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Читать статью
CVE-2026-119115 - Incorrect authorization in issuer resolution in AWS Private CA Connector for Kubernetes aws.amazon.com
RSS Hunter RSS Hunter • Вчера

CVE-2026-111497: Удаленное выполнение кода и раскрытие памяти в нативном декодере Brotli

Идентификатор бюллетеня: 2026-155-AWS Дата публикации: 28.10.2026 15:00 PDTОписание:AWS осведомлена о CVE-2026-111497, проблеме в собственной библиотеке распаковки Brotli, которая может позволить третьей стороне выполнять код или читать память процесса в затронутом приложении. AWS Lambda, AWS Amplify, AWS App Runner, Amazon CloudWatch Synthetics, AWS CodeBuild, AWS Elastic Beanstalk и AWS Elemental MediaLive решают эту проблему. Некоторые службы требуют действий от клиента. Подробности см. в бюллетене.Прочтите эту статью
CVE-2026-111497: Native Brotli Decoder Remote Code Execution and Memory Disclosure aws.amazon.com
RSS Hunter RSS Hunter • 28 окт.

CVE-2026-115415 - Обход маскировки секретных данных в инструменте окружения в Strands Agents Tools

ID бюллетеня: 2026-154-AWS Дата публикации: 28.10.2026 12:30 PM PDT Описание: Мы выявили CVE-2026-115415 — проблему, при которой инструмент среды принимал параметр маскировки из большой языковой модели (LLM) через свою схему инструмента. Созданный запрос, доставляемый через контент, который агент должен обрабатывать, мог инструктировать модель вызвать инструмент с отключённым маскированием. Затем инструмент возвращал переменные среды хоста агента в чистом тексте, включая облачные учетные данные и ключи API, без запроса у оператора согласия. Изменённые версии: >= 0.1.0 И < 0.8.6 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS. Прочитайте эту статью
CVE-2026-115415 - Secret masking bypass in the environment tool in Strands Agents Tools aws.amazon.com
RSS Hunter RSS Hunter • 28 окт.

CVE-2026-118029 - Непроверенное владение местоположением результатов запросов Athena по умолчанию в AWS SDK для pandas

Идентификатор бюллетеня: 2026-153-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 28.10.2026 08:30 PDTОписание:AWS SDK для pandas (awswrangler) — это библиотека Python с открытым исходным кодом, которая интегрирует pandas с сервисами данных AWS, такими как Amazon Athena, Amazon S3 и AWS Glue. Мы выявили CVE-2026-118029 в модуле Athena, где непроверенное владение местоположением результатов запроса по умолчанию может позволить удаленному пользователю читать результаты запросов Athena и подделывать наборы результатов, возвращаемые вызывающему абоненту через предварительно созданный бакет S3.Затронутые версии: awswrangler < 3.16.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Читать статью
CVE-2026-118029 - Unverified ownership of the default Athena query result location in AWS SDK for pandas aws.amazon.com
RSS Hunter RSS Hunter • 28 окт.

CVE-2026-115413 - Обход проверки аудитории токена OAuth в сервере AWS API MCP

ID бюллетеня: 2026-152-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 27.10.2026 11:00 по тихоокеанскому времени Описание: AWS API MCP Server — это сервер с открытым исходным кодом Model Context Protocol (MCP), который позволяет AI-ассистентам взаимодействовать с сервисами и ресурсами AWS с помощью команд AWS CLI. Его можно настроить для обслуживания потокового HTTP-транспорта с помощью аутентификации OAuth, проверяя токен носителя по идентификатору, назначенному оператором. Мы идентифицировали CVE-2026-115413 в версиях >=1.3.0 и <1.6.0, где сервер проверяет подпись, эмитент и срок действия токена, но не утверждает, указывающий приложение, для которого был выпущен токен. Затронутые версии: >=1.3.0 И <1.6.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS. Прочитайте эту статью
CVE-2026-115413 - AWS API MCP Server OAuth token audience validation bypass aws.amazon.com
RSS Hunter RSS Hunter • 27 окт.

CVE-2026-115418 - SQL-инъекция в обработчиках пользовательских ресурсов для запросов к базе данных в Amazon Web Services (AWS)

Идентификатор бюллетеня: 2026-151-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 26.10.2026 09:30 PDTОписание:Модуль @aws-cdk/aws-redshift-alpha AWS Cloud Development Kit (CDK) предоставляет экспериментальные конструкции, управляющие пользователями, таблицами и привилегиями Amazon Redshift. Мы выявили CVE-2026-115418, проблему, при которой специально сформированные имена пользователей, комментарии или пароли, установленные в этих конструкциях, могут изменять SQL, выполняемый с привилегиями суперпользователя Amazon Redshift при развертывании, включая предоставление доступа всем пользователям кластера. Эксплуатация проблемы требует возможности влиять на значения свойств конструкций приложения CDK.Затронутые версии: <2.274.0-alpha.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Прочтите эту статью
CVE-2026-115418 - SQL injection in the database-query custom resource handlers in Amazon Web Services (AWS) aws.amazon.com
RSS Hunter RSS Hunter • 26 окт.

CVE-2026-111943: Восстановление ключа промежуточного CA eMudhra в доверенных пакетах AWS

Идентификатор бюллетеня: 2026-150-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 24.10.2026 20:00 PDTРезюме:AWS выявила CVE-2026-111943, уязвимость в генерации ключей у внешней CA eMudhra/emSign, которая позволила восстановить закрытые ключи промежуточных CA. Затронуты три корневых сертификата: AAA Certificate Services, emSign Root TLS CA - G3 и emSign ECC Root CA - G3. Они были включены в доверенные пакеты AWS, подвергая TLS-клиенты с мягким отказом риску атаки "человек посередине". AWS удаляет эти корневые сертификаты. Клиентам, использующим пользовательские источники CloudFront или аутентификацию OIDC/JWT ALB, следует проверить, связаны ли их сертификаты с затронутым корневым сертификатом, и перевыпустить их из другого CA до вступления в силу ограничений.Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Читать статью
CVE-2026-111943: eMudhra intermediate CA key recovery in AWS trust bundles aws.amazon.com
RSS Hunter RSS Hunter • 25 окт.

CVE-2026-115845 - Неполная проверка в песочнице Python run_script на сервере AWS MCP

Идентификатор бюллетеня: 2026-149-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 23.10.2026 12:00 PDTОписание:AWS MCP Server — это управляемый сервер, который предоставляет ИИ-агентам доступ к AWS через протокол Model Context Protocol (MCP), включая инструмент run_script, который выполняет скрипты Python в изолированной среде.Мы выявили CVE-2026-115845 — проблему в валидаторе кода Python инструмента run_script в AWS MCP Server. Неполный список запрещенных входных данных может позволить аутентифицированному удаленному пользователю выполнить произвольный код в своей собственной изолированной сессии через специально созданный скрипт.Затронутые версии: Н/Д (управляемый сервис, исключительно размещенный)Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Прочитать эту статью
CVE-2026-115845 - Incomplete validation in the run_script Python sandbox in AWS MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 23 окт.

CVE-2026-115812 и CVE-2026-115813: Проблема в Amazon Web Services Multi Model Server

Amazon Web Services Multi Model Server (MMS), инструмент для развертывания моделей машинного обучения, достиг конца своего жизненного цикла. Исходный репозиторий MMS с 20 ноября 2025 года архивирован и доступен только для чтения. В MMS были выявлены две критические уязвимости. Первая уязвимость, CVE-2026-115812, позволяет специально созданному архиву модели записывать файлы за пределами выделенной директории. Это потенциально может привести к выполнению кода с привилегиями процесса MMS. Вторая уязвимость, CVE-2026-115813, затрагивает путь загрузки моделей в MMS. Эта ошибка может позволить интерфейсу управления направлять запросы на непредназначенные сетевые адреса. Эти проблемы затрагивают все выпущенные версии MMS, вплоть до версии 1.1.11 включительно. Пользователям настоятельно рекомендуется ознакомиться с приведенной ссылкой для получения самой актуальной и полной информации. Данное уведомление требует немедленного внимания из-за серьезности выявленных уязвимостей.
CVE-2026-115812 and CVE-2026-115813: Issue in Amazon Web Services Multi Model Server aws.amazon.com
RSS Hunter RSS Hunter • 23 окт.

CVE-2026-115417 - Выделение памяти с чрезмерным значением размера в адаптере совместимости MQTT 3.1.1 в aws-c-mqtt

Идентификатор бюллетеня: 2026-147-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 22.10.2026 13:30 PM PDT Описание: AWS-C-MQTT — это реализация спецификаций MQTT 3.1.1 и MQTT5 на C99, распространяемая в рамках AWS Common Runtime (CRT) и включённая в AWS IoT Device SDK для C++ v2. Мы выявили CVE-2026-115417 — выделение памяти с избыточным значением размера (CWE-789) в адаптере совместимости MQTT 3.1.1 библиотеки. При определённых условиях удалённый актор может вызвать отказ в обслуживании клиентского процесса. Изменённые версии: >= 0.9.1 И < 0.16.2 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS. Прочитайте эту статью
CVE-2026-115417 - Memory allocation with excessive size value in the MQTT 3.1.1 compatibility adapter in aws-c-mqtt aws.amazon.com
RSS Hunter RSS Hunter • 22 окт.

CVE-2026-115419 - Непреднамеренное раскрытие элемента данных неверной сессии в Strands Agents SDK A2A Server

В Strands Agents, открытом SDK для создания ИИ-агентов, выявлена уязвимость безопасности CVE-2026-115419. Проблема заключается в компоненте сервера Agent2Agent (A2A), который не обеспечивает должной изоляции состояния разговора между пользователями. Эта уязвимость позволяет аутентифицированным удаленным злоумышленникам получать доступ к истории разговоров других пользователей или изменять поведение модели в многопользовательских средах. Пользователям Strands Agents (Python) и @strands-agents/sdk (TypeScript) следует обновиться до версий 1.43.0 и 1.5.0 соответственно, или более поздних, чтобы устранить этот риск.
CVE-2026-115419 - Unintended disclosure of data element to wrong session in Strands Agents SDK A2A Server aws.amazon.com
RSS Hunter RSS Hunter • 22 окт.

CVE-2026-115414 - Проблема внедрения команд ОС в хуке Terraform SAM CLI

ID бюллетеня: 2026-145-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 22.10.2026 11:30 AM PDT Описание: AWS SAM CLI — это фреймворк с открытым исходным кодом для создания серверных приложений. Мы выявили CVE-2026-115414 — проблему с инъекцией команд ОС в хуке Terraform (sam build --hook-name terraform) в AWS SAM CLI. Крюк Terraform генерирует рецепт Makefile, который интерполирует адрес ресурса Terraform без полной нейтрализации метасимволов оболочки, что может позволить актору, влиявшему на конфигурацию или файл плана Terraform, используемый сборкой, выполнять произвольные команды в качестве пользователя сборки на хосте, выполняющем сборку. Изменённые версии: >=1.63.0, <=1.166.1 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS. Прочитайте эту статью
CVE-2026-115414 - OS Command Injection Issue in SAM CLI Terraform Hook aws.amazon.com
RSS Hunter RSS Hunter • 22 окт.

CVE-2026-115416 - Некорректные проверки авторизации в обработке запросов движка Amazon Athena версии 3

Идентификатор бюллетеня: 2026-144-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 22.10.2026 09:30 PDTОписание:Amazon Athena — это интерактивный сервис запросов, который позволяет анализировать данные в Amazon S3 с использованием стандартного SQL. Мы выявили CVE-2026-115416, проблему в обработке запросов версии 3 движка Amazon Athena, где некорректные проверки авторизации могли позволить аутентифицированному пользователю читать идентификаторы учетных записей AWS и метаданные текста SQL-запросов из других учетных записей AWS. Результаты запросов и данные, хранящиеся в Amazon S3 или других источниках данных, не были доступны через эту проблему.Затронутые версии: Amazon Athena engine version 3Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Читать статью
CVE-2026-115416 - Incorrect authorization checks in Amazon Athena engine version 3 query processing aws.amazon.com
RSS Hunter RSS Hunter • 22 окт.

Веб-программы выполнения PHP (CVE-2026-109618 и CVE-2026-109619)

Идентификатор бюллетеня: 2026-143-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 21.10.2026 14:30 PDTРезюме:Две критические уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619) позволяют неаутентифицированному удаленному злоумышленнику выполнять код, получать доступ к данным, доступным для процесса, или вызывать отказ в обслуживании на затронутых PHP-воркерах. Клиентам, использующим затронутые версии PHP (8.2–8.5 ниже исправленных версий и устаревшие 5.4–8.1), следует немедленно обновиться до исправленной версии (8.5.12, 8.4.27, 8.3.36 или 8.2.35); одних только изменений конфигурации недостаточно для полного устранения. AWS определила ограниченный набор служб, работающих на затронутых версиях PHP, и активно развертывает меры по смягчению последствий и обновления. Ознакомьтесь с полным бюллетенем для получения информации о статусе каждой службы, рекомендаций по смягчению последствий и компенсирующих мер AWS WAF.Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Прочтите эту статью
PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) aws.amazon.com
RSS Hunter RSS Hunter • 21 окт.

CVE-2026-112408 - Отсутствие проверки владения корзиной в функции default_bucket() Amazon SageMaker Python SDK

AWS выпустила важное уведомление по безопасности, касающееся Python SDK Amazon SageMaker. Уязвимость CVE-2026-112408 была обнаружена в функции default_bucket(). Эта уязвимость позволяет удаленному злоумышленнику, который первым создаст определенный S3-бакет, потенциально получить выполнение кода и учетные данные IAM в среде SageMaker. Затронутые версии SDK включают V2 до 2.257.3 и V3 от 3.0.0 до 3.10.0 (не включая ее).
CVE-2026-112408 - Missing bucket ownership verification in Amazon SageMaker Python SDK default_bucket() aws.amazon.com
RSS Hunter RSS Hunter • 21 окт.

CVE-2026-112407 - Некорректное назначение привилегий в AWS CICD-toolchain-for-serverless-applications

Идентификатор бюллетеня: 2026-141-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 20.10.2026 13:30 PDTОписание:CICD-toolchain-for-serverless-applications — это пример приложения AWS, которое предоставляет конвейер CI/CD для бессерверных приложений через AWS Serverless Application Repository. Мы выявили CVE-2026-112407, некорректное назначение привилегий в политике IAM приложения CICD-toolchain-for-serverless-applications до версии 1.0.11, которое позволяет удаленным аутентифицированным пользователям с доступом на запись к репозиторию исходного кода приложения повышать свои привилегии и получать доступ или изменять ресурсы за пределами стека приложения в той же учетной записи AWS через шаблоны приложений, развернутые конвейером.Затронутые версии: =1.0.7 И <=1.0.10Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Читать статью
CVE-2026-112407 - Incorrect privilege assignment in AWS CICD-toolchain-for-serverless-applications aws.amazon.com
RSS Hunter RSS Hunter • 20 окт.

CVE-2026-112380 - Отсутствие авторизации в WhatsApp-канале в Kiro Crew

Выпущено важное уведомление безопасности AWS относительно Kiro Crew, персонального ИИ-агента с открытым исходным кодом. В этом уведомлении освещается CVE-2026-112380, уязвимость авторизации. Проблема конкретно затрагивает канал WhatsApp и внутренние конечные точки управления под-агентом. При определенных конфигурациях член авторизованной группы WhatsApp мог отправлять инструкции под-агенту другой сессии. Затем этот под-агент выполнял бы инструкции на машине оператора. Журнал аудита ошибочно приписывал бы эти действия оператору, а не отправителю. Стандартная конфигурация Kiro Crew не подвержена этой уязвимости. Это связано с тем, что стандартные настройки для групп WhatsApp и политики прямых сообщений предотвращают несанкционированный доступ. Уязвимость затрагивает версии Kiro Crew с 0.4.0 до 0.7.2 (не включая ее). Пользователям рекомендуется ознакомиться с приведенной ссылкой для получения полной и актуальной информации.
CVE-2026-112380 - Missing authorization in the WhatsApp channel in Kiro Crew aws.amazon.com
RSS Hunter RSS Hunter • 20 окт.

CVE-2026-109587 и CVE-2026-109588 - Проблема с FreeRTOS-Kernel

AWS выпускает важное уведомление относительно FreeRTOS-Kernel, ядра операционной системы реального времени для микроконтроллеров. Были выявлены две уязвимости конкретно в порте Arm Cortex-R82 MPU ядра FreeRTOS-Kernel. Первая, CVE-2026-109587, связана с некорректной авторизацией, когда непривилегированные задачи могут получить доступ к привилегированной памяти ядра. Это происходит при передаче аргументов буфера системным вызовам MPU, обходя определенные области памяти. Вторая уязвимость, CVE-2026-109588, относится к числовому усечению при проверках авторизации буфера. В сборках с поддержкой MPU системные вызовы потоковых буферов имеют недостаточную проверку длины буфера. Это может позволить непривилегированным задачам читать или записывать привилегированную память ядра за пределами предполагаемого буфера. Обе проблемы затрагивают сборки Arm Cortex-R82, где configENABLE_MPU установлено в 1. Приложения, не использующие MPU FreeRTOS, не подвержены этим уязвимостям. Затронутые версии для обоих CVE — V11.3.0 и V11.3.1 для порта Arm Cortex-R82 MPU. Пользователям рекомендуется ознакомиться с дополнительными ресурсами для получения полной информации.
CVE-2026-109587 & CVE-2026-109588 - Issue with FreeRTOS-Kernel aws.amazon.com
RSS Hunter RSS Hunter • 16 окт.

CVE-2026-102551 и CVE-2026-102552 - Проблема с FreeRTOS-Plus-TCP

AWS выпустила важное бюллетень безопасности, касающийся FreeRTOS-Plus-TCP, открытого стека TCP/IP для встраиваемых устройств. Были выявлены две критические уязвимости: CVE-2026-102551 и CVE-2026-102552. CVE-2026-102551 затрагивает обработчик объявлений маршрутизатора IPv6, позволяя удаленным злоумышленникам влиять на конфигурацию IPv6 конечной точки. Это может привести к перехвату трафика IPv6 устройства. Эта уязвимость существует при включенном IPv6 и объявлениях маршрутизатора. CVE-2026-102552 затрагивает резолвер DNS, позволяя удаленным злоумышленникам внедрять вредоносные записи в кэш DNS устройства. Это может привести к перенаправлению соединений на затронутые доменные имена. Обе уязвимости затрагивают версии FreeRTOS-Plus-TCP до V4.4.1 включительно. Пользователям настоятельно рекомендуется обновиться до исправленной версии. Дополнительные сведения и самая актуальная информация доступны в прилагаемой статье.
CVE-2026-102551 & CVE-2026-102552 - Issue with FreeRTOS-Plus-TCP aws.amazon.com
RSS Hunter RSS Hunter • 16 окт.

Проблема в пути сетевого взаимодействия virtio-net/TAP в ядре Linux, затрагивающая гипервизоры на базе KVM

Идентификатор бюллетеня: 2026-137-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 15.10.2026 10:30 PDTОписание:AWS осведомлена о проблеме в сетевом пути virtio-net/TAP ядра Linux (CVE-2026-99999), которая затрагивает гипервизоры на базе KVM, работающие на непатченных версиях ядра Linux от 4.4 до 6.18. Эта проблема может позволить злоумышленнику с привилегированным доступом внутри гостевой виртуальной машины отправлять специально сформированные сетевые пакеты, которые могут повредить память ядра хоста, что может привести к раскрытию памяти хоста или отказу в обслуживании.Управляемые AWS вычислительные и контейнерные сервисы, включая экземпляры Amazon EC2, AWS Lambda и AWS Fargate, не затронуты. Для клиентов, использующих эти сервисы, никаких действий не требуется.Затронутые продукты и версии:Клиенты, которые самостоятельно управляют виртуальными машинами, используя virtio-net и KVM, включая тех, кто использует мониторы виртуальных машин, такие как Firecracker, на хостах, работающих на затронутых, непатченных версиях ядра Linux.Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
Issue in the Linux kernel virtio-net/TAP networking path affecting KVM-based hypervisors aws.amazon.com
RSS Hunter RSS Hunter • 15 окт.

CVE-2026-110812 - Десериализация недоверенных данных в пути импорта графа Gremlin в Amazon Neptune

Идентификатор бюллетеня: 2026-136-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 15.10.2026 09:30 PDTОписание:Amazon Neptune — это полностью управляемый сервис графовых баз данных. Мы выявили CVE-2026-110812, проблему в Apache TinkerPop, связанную с функциональностью Gremlin, используемой Amazon Neptune. При определенных условиях аутентифицированный субъект с разрешениями плоскости данных (запросов) Neptune мог отправить запрос, который приводил к небезопасной обработке недоверенного ввода движком запросов, что могло привести к непреднамеренным действиям в среде движка запросов. Эта проблема была устранена в версиях движка, перечисленных ниже; мы рекомендуем клиентам обновиться.Затронутые версии: >=1.2.0.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-110812 - Deserialization of untrusted data in the Gremlin graph-import path in Amazon Neptune aws.amazon.com
RSS Hunter RSS Hunter • 15 окт.

CVE-2026-110310 - RSA PKCS#1 v1.5 padding oracle через понижение версии формата ключа устаревшего конверта в Amazon S3 Encryption Client для .NET

Идентификатор бюллетеня: 2026-135-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 14.10.2026 12:30 PDTОписание:Мы выявили CVE-2026-110310, проблему в клиенте шифрования Amazon S3 для .NET, которая может позволить удаленному пользователю, имеющему возможность читать зашифрованные объекты в бакете S3, принудительно понизить уровень заполнения, изменив схему заполнения, записанную в метаданных объекта, на устаревшую PKCS#1 v1.5. Поскольку эта схема заполнения подвержена атаке Блейхенбахера, пользователь может использовать оракул заполнения PKCS#1 v1.5 для восстановления обернутого ключа RSA и расшифровки объекта.Затронутые версии: >= 2.1.0; 3.0.0 - 3.2.1; 4.0.0 - 4.0.2Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-110310 - RSA PKCS#1 v1.5 padding oracle via legacy envelope key format downgrade in Amazon S3 Encryption Client for .NET aws.amazon.com
RSS Hunter RSS Hunter • 14 окт.

CVE-2026-110248 - Вставка конфиденциальной информации в файлы журналов в Amazon SageMaker Python SDK

Идентификатор бюллетеня: 2026-134-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 14.10.2026 11:30 PDTОписание:Amazon SageMaker Python SDK — это библиотека с открытым исходным кодом для обучения и развертывания моделей машинного обучения на Amazon SageMaker.Мы выявили CVE-2026-110248 — проблему в компоненте git_utils.py Amazon SageMaker Python SDK. Когда операция клонирования Git завершается неудачно, учетные данные репозитория в выходных данных ошибки подпроцесса записываются в журналы CloudWatch без маскировки. Аутентифицированный удаленный пользователь с доступом к этим журналам может получить учетные данные в открытом виде.Затронутые версии:- Amazon SageMaker Python SDK V2 версии до 2.257.3- Amazon SageMaker Python SDK V3 версии до 3.10.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-110248 - Insertion of sensitive information into log files in Amazon SageMaker Python SDK aws.amazon.com
RSS Hunter RSS Hunter • 14 окт.

CVE-2026-108096: Ненадлежащая авторизация в резолверах запросов для моделей на основе SQL в категории AWS Amplify API

Идентификатор бюллетеня: 2026-133-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 09.10.2026 11:00 по тихоокеанскому времениОписание: AWS Amplify API Category — это библиотека CDK Construct для определения моделей данных GraphQL с правилами авторизации в виде API AWS AppSync. Мы выявили CVE-2026-108096, где неправильное авторизирование резолверов запросов, генерируемых @aws-amplify/graphql-index-transformer, может позволить аутентифицированному удалёному пользователю читать записи, принадлежащие другим пользователям того же приложения, с помощью созданных запросов. Затронутые версии: - @aws-amplify/graphql-index-transformer >=2.2.0, <3.1.2; - @aws-amplify/graphql-api-construct >=1.4.0, <1.21.4; - @aws-amplify/data-construct <1.17.4Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-108096: Improper authorization in query resolvers for SQL-backed models in AWS Amplify API Category aws.amazon.com
RSS Hunter RSS Hunter • 9 окт.

CVE-2026-107783 - Вставка конфиденциальной информации в лог-файл в AWS Tools for PowerShell

Идентификатор бюллетеня: 2026-132-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 10.09.2026 08:30 PDTОписание:AWS Tools for PowerShell V5 позволяет разработчикам и администраторам управлять своими сервисами AWS из среды скриптов PowerShell. Мы выявили CVE-2026-107783, при котором вставка конфиденциальной информации в лог-файл в AWS Tools for PowerShell до версии 5.0.306 может позволить локальным пользователям восстановить пароль IAM-пользователя в открытом тексте из консоли управления AWS из вывода команд и артефактов логов.Затронутые версии: <= v5.0.305Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-107783 - Insertion of sensitive information into log file in AWS Tools for PowerShell aws.amazon.com
RSS Hunter RSS Hunter • 9 окт.

CVE-2026-107608: Некорректное разрешение ссылок при обработке вывода пакетирования ресурсов в aws-cdk-lib

Идентификатор бюллетеня: 2026-131-AWSОбласть применения: AWSТип контента: Важно (требует внимания)Дата публикации: 10.08.2026 12:30 PDTОписание:AWS CDK — это фреймворк с открытым исходным кодом, который позволяет клиентам создавать облачную инфраструктуру, используя их любимый язык программирования (Python, Typescript, C#, Go). Эта инфраструктура затем может быть развернута с помощью команд командной строки AWS CDK в AWS CloudFormation. Мы выявили CVE-2026-107608 — проблему, при которой файлы Docker могли быть сконфигурированы для вставки символических ссылок в выходные данные процесса сборки ресурсов AWS CDK при вызове с помощью файла Docker. При сборке ресурса с использованием AWS CDK и файла Docker до версии 2.267.0 было возможно, чтобы файл Docker вставил символическую ссылку на файл или каталог в выходные данные сборки ресурсов без предоставления этой символической ссылки в качестве входных данных для процесса сборки.Затронутые версии: Все версии aws-cdk-lib до 2.267.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, касающейся этого бюллетеня безопасности AWS.
CVE-2026-107608: Improper link resolution in asset bundling output handling in aws-cdk-lib aws.amazon.com
RSS Hunter RSS Hunter • 8 окт.

CVE-2026-107322 - Внедрение команд ОС в плагинах агента для баз данных AWS на AWS

Идентификатор бюллетеня: 2026-130-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 10.08.2026 11:30 PDTОписание:Amazon Agent Plugins for AWS — это коллекция плагинов с открытым исходным кодом, которая расширяет поддерживаемые ИИ-агенты для кодирования рабочими процессами и интеграциями инструментов, ориентированными на AWS. Плагин databases-on-aws предоставляет рекомендации по проектированию, разработке, миграции и эксплуатации баз данных, включая вспомогательные скрипты Aurora DSQL.Мы выявили CVE-2026-107322, при котором неполный список недопустимых входных данных в версиях databases-on-aws до 1.7.1 мог позволить удаленному неаутентифицированному злоумышленнику передать специально сформированный контент, который будет обработан агентом. Затронутый код не является сетевой службой с прослушиванием; выполнение команд операционной системы на хосте возможно только в том случае, если агент впоследствии вызовет локальный вспомогательный инструмент со специально сформированным значением команды базы данных. Любая результирующая команда будет выполняться с правами процесса, запускающего вспомогательный инструмент. Эта проблема не затрагивает службу Aurora DSQL и не обходит привилегии базы данных.Затронутые версии: databases-on-aws версии с 1.0.0 по 1.7.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-107322 - OS command injection in Amazon Agent Plugins for AWS databases-on-aws aws.amazon.com
RSS Hunter RSS Hunter • 8 окт.

CVE-2026-107332 - Небезопасные права доступа по умолчанию к файлам с кэшированными учетными данными в AWS Toolkit для Visual Studio Code

Идентификатор бюллетеня: 2026-129-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 10.08.2026 22:30 PDTОписание:AWS Toolkit for Visual Studio Code — это расширение с открытым исходным кодом, которое позволяет разработчикам работать с сервисами AWS, включая Amazon CodeCatalyst, непосредственно из Visual Studio Code. Мы выявили CVE-2026-107332, проблему в обработчике подключений CodeCatalyst. Когда пользователь подключался к среде разработки CodeCatalyst, расширение кэшировало токен доступа CodeCatalyst пользователя в файле с правами чтения для всех пользователей и не удаляло файл после завершения сеанса. Локальный пользователь или процесс на той же машине, имеющий доступ к файловой системе, мог прочитать этот файл и получить токен доступа.Затронутые версии: < 4.10.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-107332 - Insecure default file permissions on cached credentials in AWS Toolkit for Visual Studio Code aws.amazon.com
RSS Hunter RSS Hunter • 8 окт.

CVE-2026-107352 - Отсутствие проверок авторизации при обработке запросов в движке Amazon Athena версии 3

Идентификатор бюллетеня: 2026-128-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 07.10.2026 13:00 PDTОписание:Отсутствие проверок авторизации в обработке запросов движка Amazon Athena версии 3 могло позволить аутентифицированному пользователю прочитать ограниченные метаданные запросов (идентификаторы учетных записей AWS и текст SQL-запросов) из других учетных записей AWS. AWS устранила проблему 1 сентября 2026 года и подтвердила, что доступ к метаданным клиентов не осуществлялся. Результаты запросов, учетные данные и данные Amazon S3 не пострадали. Действия со стороны клиентов не требуются.Решение:Проблема была устранена на стороне сервиса 1 сентября 2026 года.Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-107352 - Missing authorization checks in Amazon Athena engine version 3 request handling aws.amazon.com
RSS Hunter RSS Hunter • 7 окт.

CVE-2026-105811 - Обход авторизации через управляемый пользователем ключ в образце хука Lambda Amazon Q Business в QnABot на AWS

Бюллетень 2026-126-AWS описывает важную уязвимость безопасности, затрагивающую QnABot на AWS. CVE-2026-105811 была обнаружена в необязательном образце хука Amazon Q Business Lambda. Этот образец не развертывается автоматически с QnABot и требует ручной настройки, поэтому затронуты только те, кто его развернул. Уязвимость, присутствующая в версиях QnABot с 7.0.0 по 7.4.5, позволяет аутентифицированному удаленному пользователю обойти авторизацию. Это обходное решение может позволить несанкционированное чтение произвольных объектов Amazon S3 в развертываемой учетной записи AWS. Для снижения этого риска затронутые клиенты должны обновить свой стек QnABot на AWS до версии 7.4.6 или новее. После обновления QnABot им также необходимо повторно развернуть стек хука Amazon Q Business Lambda. Обновление только стека QnABot не обеспечит необходимое исправление. Это многоэтапное исправление имеет решающее значение для защиты от потенциальных утечек данных. Все затронутые клиенты должны ознакомиться с предоставленной статьей для получения полной и актуальной информации.
CVE-2026-105811 - Authorization bypass through a user-controlled key in the Amazon Q Business Lambda hook sample in QnABot on AWS aws.amazon.com
RSS Hunter RSS Hunter • 7 окт.

CVE-2026-105812 и CVE-2026-106032: Проблема с набором инструментов запуска Bedrock AgentCore — внедрение кода агента при импорте и SSRF

Идентификатор бюллетеня: 2026-127-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 10/06/2026 13:30 PDTОписание: bedrock-agentcore-starter-toolkit — это открытый пакет Python, поддерживаемый AWS, распространяемый через GitHub и PyPI, который предоставляет командную строку для импорта Amazon Bedrock Agents в локальные среды разработки. Мы выявили CVE-2026-105812 — проблему инъекции кода, которая может позволять произвольное выполнение кода при импорте и последующем запуске или развертывании специально созданного агента, а также CVE-2026-106032 — проблему внешней обработки ссылк, которая может вызывать нежелательные сетевые запросы или локальный доступ к файлам при импорте агентов. Заражённые версии: >= 0.1.4 и <= 0.3.13Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-105812 and CVE-2026-106032: Issue with Bedrock AgentCore Starter Toolkit - Import Agent Code Injection and SSRF aws.amazon.com
RSS Hunter RSS Hunter • 6 окт.

CVE-2026-104019 - Внедрение команд ОС в скрипт запуска Studio Space в Amazon SageMaker Distribution

Amazon SageMaker Unified Studio — это сервис AWS, который объединяет разработку данных, аналитики и ИИ. Он позволяет пользователям получать доступ к организационным данным и работать с ними, используя специализированные инструменты. В процессе запуска SageMaker Spaces в Unified Studio была обнаружена критическая уязвимость, CVE-2026-104019. Эта проблема вызвана некорректной обработкой деталей сетевого соединения в процессе валидации. При определенных обстоятельствах эта уязвимость может привести к произвольному выполнению кода в SageMaker Space другого участника проекта. Если включена функция Trusted Identity Propagation, участник может получить доступ к временным учетным данным роли выполнения другого участника. Эти учетные данные затем могут быть использованы для вызова нижестоящих сервисов AWS от имени этого участника. AWS внедрила исправление для устранения этой уязвимости путем санитарной обработки деталей соединения во время валидации при запуске. Исправление было развернуто по всему миру и автоматически применится ко всем Spaces при их следующем запуске. Затронуты несколько версий, включая определенные диапазоны 2.x, 3.x, 4.0.x, 4.1.x, 4.2.x и 4.3.x. Более старые версии (до 2.8.0 и 3.3.0) и версии 4.5.x не затронуты.
CVE-2026-104019 - OS command injection in the Studio Space startup script in Amazon SageMaker Distribution aws.amazon.com
RSS Hunter RSS Hunter • 2 окт.

CVE-2026-103956, CVE-2026-103957 и CVE-2026-103958 — Проблемы в Loom для AWS

AWS выпустила важное уведомление относительно уязвимостей в Loom for AWS, платформе оркестрации ИИ-агентов с открытым исходным кодом. Были выявлены и устранены три критические проблемы, требующие обновления до версии 1.7.0. Первая уязвимость, CVE-2026-103956, представляла собой обход аутентификации, который позволял любому сетевому клиенту осуществлять административное управление плоскостью управления агентом. Это было исправлено в версии 1.6.1. Вторая проблема, CVE-2026-103957, касалась раскрытия токенов и учетных данных OAuth2. Это могло произойти, когда аутентифицированный пользователь настраивал определенный URL обнаружения, что приводило к отправке конфиденциальной информации на сторонние конечные точки. Эта уязвимость была полностью устранена в версии 1.7.0. Третья уязвимость, CVE-2026-103958, позволяла аутентифицированным пользователям направлять запросы на подключение к произвольным внутренним сетевым расположениям. Это также включало возможность чтения ответов, в том числе с конечной точки выдачи учетных данных контейнера. Эта проблема также была решена в версии 1.7.0. Пользователям настоятельно рекомендуется обновить ПО до последней версии и исправить любой производный код. В уведомлении подчеркивается важность своевременного применения этих обновлений безопасности. Дополнительные сведения можно найти в прилагаемой статье.
CVE-2026-103956, CVE-2026-103957, and CVE-2026-103958 - Issues in Loom for AWS aws.amazon.com
RSS Hunter RSS Hunter • 2 окт.

CVE-2026-103505 - Внедрение опций монтирования в драйвере Amazon EFS CSI

Идентификатор бюллетеня: 2026-120-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 01.10.2026 08:30 по тихоокеанскому времениОписание: Драйвер Amazon EFS CSI — это драйвер Container Storage Interface, который позволяет кластерам Kubernetes использовать Amazon Elastic File System. Мы выявили CVE-2026-103505, где актор с правами создания PersistentVolume может внедрить дополнительные опции монтирования через атрибут mounttargetipmap volumeAttribute. Добавление значений с разделёнными запятой к значению внутри этой JSON-карты заставляет утилиту mount парсировать их как отдельные варианты монтирования. Изменённые версии: >= v3.1.0 И <= v3.4.2Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-103505 - Mount Option Injection in Amazon EFS CSI Driver aws.amazon.com
RSS Hunter RSS Hunter • 2 окт.

CVE-2026-104002: Ошибка обработки с открытым доступом в утилите маскирования данных в Powertools for AWS Lambda (Python)

Идентификатор бюллетеня: 2026-123-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 10/01/2026 14:00 PM PDTОписание: Powertools for AWS Lambda (Python) — это набор инструментов для разработчиков, который реализует лучшие практики безсерверного использования и увеличивает скорость работы разработчиков. Мы выявили CVE-2026-104002 — проблему с ошибкой с ошибками в утилите маскировки данных Powertools for AWS Lambda (Python). Эта проблема может позволить акторам читать чувствительные значения полей, которые приложение планировало маскировать. Изменённые версии: >=3.6.0 И <=3.34.0Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-104002: Fail-open error handling in the data masking utility in Powertools for AWS Lambda (Python) aws.amazon.com
RSS Hunter RSS Hunter • 1 окт.

CVE-2026-104020 - Неконтролируемая рекурсия в парсере Ion в Amazon Ion Python

Идентификатор бюллетеня: 2026-122-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 01.10.2026 13:30 PDTОписание:Amazon Ion Python — это реализация формата данных Amazon Ion с открытым исходным кодом на языке Python. Мы выявили CVE-2026-104020, проблему в средстве чтения Ion в Amazon Ion Python версий до 0.15.0, где специально созданное, глубоко вложенное значение Ion могло привести к возникновению ошибки или сбою приложения, что привело бы к отказу в обслуживании.Затронутые версии: < 0.15.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-104020 - Uncontrolled recursion in the Ion reader in Amazon Ion Python aws.amazon.com
RSS Hunter RSS Hunter • 1 окт.

CVE-2026-97662 - Внедрение аргументов в diff scan AWS security-agent-mcp-server

Идентификатор бюллетеня: 2026-121-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 10/01/2026 10:30 AM PDTОписание: security-agent-mcp-server — это сервер с открытым исходным кодом Model Context Protocol (MCP), опубликованный AWS в репозитории awslabs/mcp, который ассистенты ИИ используют для выполнения локальных сканирования безопасности (включая дифференциальные «diff»-сканирования) исходного кода. Мы выявили CVE-2026-97662 — проблему инъекции аргументов в операции diff scan: сформированное ссылочное значение, приведённое для скана, интерпретируется как командная строка, а не как ревизия, позволяющая контекстно-зависящему актору создавать, перезаписывать или обрезать произвольные файлы на хосте вне заданного каталога рабочего пространства, обходя контроль confinement workspace-confinement сервера. Изменённые версии: >= 0.1.1 И < 0.2.0Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-97662 - Argument injection in AWS security-agent-mcp-server diff scan aws.amazon.com
RSS Hunter RSS Hunter • 1 окт.

CVE-2026-100308 - Произвольное выполнение команд в GluonTS во время десериализации модели

Идентификатор бюллетеня: 2026-119-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 29.09.2026 08:00 PDTОписание:GluonTS — это библиотека с открытым исходным кодом для моделей временных рядов на основе глубокого обучения. Мы выявили CVE-2026-100308, которая позволяет выполнять произвольные команды при десериализации недоверенных артефактов модели.Десериализация недоверенных данных в компоненте загрузки модели в Amazon GluonTS до версии 0.17.0 может позволить злоумышленникам, в зависимости от контекста, выполнять произвольные команды операционной системы с привилегиями процесса загрузки через специально созданный сериализованный каталог модели. Проблема возникает всякий раз, когда пользователь вызывает Predictor.deserialize() или любой RepresentablePredictor.deserialize() для каталога модели, который он не полностью контролирует.Затронутые версии: <0.17.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Просмотреть статью
CVE-2026-100308 - GluonTS arbitrary command execution during model deserialization aws.amazon.com
RSS Hunter RSS Hunter • 29 сент.

CVE-2026-96883 - Ошибка типа в AWS pgcollection позволяет удаленное выполнение кода

Идентификатор бюллетеня: 2026-118-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 24.09.2026 12:00 PDTОписание:pgcollection — это расширение PostgreSQL с открытым исходным кодом. Мы выявили CVE-2026-96883, проблему в логике приведения типов pgcollection. При запросе сохраненного значения icollection как типа, несовместимого с тем, как оно было фактически сохранено, расширение неправильно интерпретирует представление данных, позволяя аутентифицированному пользователю базы данных вызвать сбой серверной части PostgreSQL или выполнить произвольный код.Затронутые версии: pgcollection v2.0.0 по v2.1.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Просмотреть статью
CVE-2026-96883 - Type confusion in AWS pgcollection allows remote code execution aws.amazon.com
RSS Hunter RSS Hunter • 24 сент.

CVE-2026-94450 - Возможная атака типа "отказ в обслуживании" при настройке отправки пакетов повторных попыток в s2n-quic

Идентификатор бюллетеня: 2026-116-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 22.09.2026 13:00 PDTОписание:s2n-quic — это реализация протокола QUIC на языке Rust. Мы выявили CVE-2026-94450 — проблему с некорректной проверкой длины Destination Connection ID при настройке сервера на отправку пакетов Retry. s2n-quic версии 1.88.0 и более ранних версий позволяют неаутентифицированному пользователю завершить работу серверной конечной точки с помощью одного специально сформированного UDP-датаграммы. Никакие сервисы AWS не затронуты этой проблемой, и клиентам сервисов AWS не требуется предпринимать никаких действий. Затронуты только серверные конечные точки, специально настроенные на отправку пакетов Retry.Затронутые версии: <= v1.88.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-94450 - Potential denial of service when configured to send Retry packets in s2n-quic aws.amazon.com
RSS Hunter RSS Hunter • 22 сент.

CVE-2026-94384 - Отсутствие авторизации в AmazonConnectSalesforceLambda sfExecuteAWSService

Идентификатор бюллетеня: 2026-115-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 22.09.2026 10:00 по тихоокеанскому времениОписание: Amazon Connect Salesforce Lambda (AmazonConnectSalesforceLambda) — это бессерверное приложение репозитория приложений, предоставляющее функции Lambda для интеграции Amazon Connect с Salesforce. Мы выявили CVE-2026-94384 — отсутствующую проблему авторизации функции sfExecuteAWSService Lambda, которая используется только при начальной установке. Функция отправляет параметры, предоставленные вызывающим, в привилегированные API сервиса AWS без проверки авторизации вызывающего. В результате принципал IAM с разрешением lambda:InvokeFunction на этой функции может выполнять операции AWS, которые его собственные разрешения IAM иначе отклонили бы. Изменённые версии: >= 5.15 И <= 5.24.16Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-94384 - Missing Authorization in AmazonConnectSalesforceLambda sfExecuteAWSService aws.amazon.com
RSS Hunter RSS Hunter • 22 сент.

CVE-2026-92943 - Некорректная проверка сертификата с несоответствием хоста в AWS IoT Device SDK для Python

ID бюллетеня: 2026-115-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 17.09.2026 12:00 PDT Описание: AWS IoT Device SDK for Python (AWSIoTPythonSDK) — это открытый SDK, позволяющий IoT-устройствам и шлюзам подключаться к AWS IoT Core через MQTT. Мы определили CVE-2026-92943 на уровне TLS подключения клиента MQTT, где клиент не проверял, совпадает ли серверный сертификат с именем AWS IoT Core конечного устройства. В Python 3.7 и более поздних версиях противник посередине, находящийся в сети, мог представить сертификат для несвязанного хоста, выданный любым центром сертификации в хранилище доверия устройства, выдать себя за конечную точку AWS IoT-ядра, читать телеметрию устройства и внедрять произвольные MQTT-сообщения, которые устройство обрабатывает как аутентичные. Оба пути соединения по умолчанию SDK были затронуты: взаимная аутентификация X.509 на порте 8883 и WebSocket с SigV4 на порте 443. Путь ALPN порта 443 не был затронут. Изменённые версии: >=1.5.3 И <=1.6.0 (на Python 3.7 и позднее) Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-92943 - Improper validation of certificate with host mismatch in AWS IoT Device SDK for Python aws.amazon.com
RSS Hunter RSS Hunter • 17 сент.

CVE-2026-86831: Некорректная проверка уникальности идентификатора пода в aws-network-policy-agent в Amazon EKS

Идентификатор бюллетеня: 2026-113-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 16.09.2026 12:30 PDTОписание:Network Policy Agent — это функция управления политиками EKS. Мы выявили CVE-2026-86831, обход NetworkPolicy между пространствами имен в Amazon EKS Network Policy Agent (aws-network-policy-agent) до версии v1.4.0. Идентификаторы подов формируются путем объединения имени пода и пространства имен с разделителем-дефисом, который является допустимым символом как в именах подов Kubernetes, так и в именах пространств имен. Эта неоднозначность может привести к созданию одинаковых идентификаторов для подов в разных пространствах имен, что потенциально может позволить обойти применение NetworkPolicy.Затронутые версии: - 1.14.0<1.22.3 Управляемое дополнение Amazon VPC CNI - < v1.4.0 Network Policy AgentПожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-86831: Improper validation of pod identifier uniqueness in aws-network-policy-agent in Amazon EKS aws.amazon.com
RSS Hunter RSS Hunter • 16 сент.

CVE-2026-86830 - Некорректное назначение привилегий в системе управления временным повышенным доступом (TEAM) для AWS IAM Identity Center

Идентификатор бюллетеня: 2026-112-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 14.09.2026 10:45 PDTОписание:Temporary Elevated Access Management (TEAM) — это открытое решение AWS для управления временным повышенным доступом через AWS IAM Identity Center. Мы выявили CVE-2026-86830, при котором аутентифицированный пользователь с доступом на уровне приложения мог получить непреднамеренный временный повышенный доступ к учетным записям AWS, управляемым TEAM.Затронутые версии: <1.5.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, касающейся этого бюллетеня безопасности AWS.
CVE-2026-86830 - Incorrect privilege assignment in Temporary Elevated Access Management (TEAM) for AWS IAM Identity Center aws.amazon.com
RSS Hunter RSS Hunter • 14 сент.

CVE-2026-89332 - Утечка конфиденциальных данных рабочей области Kiro IDE через конфигурацию рабочей области, записанную агентом

Данный бюллетень посвящен уязвимости безопасности в Kiro IDE, конкретно CVE-2026-89332. Kiro IDE — это среда разработки на базе искусственного интеллекта, предназначенная для помощи разработчикам. Уязвимость позволяет злоумышленнику в недоверенном рабочем пространстве изменять файл настроек проекта. Эта модификация может перенаправить URL реестра Powers Kiro на внешний сервер. В результате конфиденциальные данные рабочего пространства могут быть украдены на этот вредоносный конечный узел. Хотя Kiro представляет изменения для одобрения пользователем, изменение файла происходит до ответа пользователя. Открытие панели Powers до одобрения инициирует передачу данных. Эта проблема затрагивает версии Kiro IDE до 0.8.135. Пользователям рекомендуется обновиться до безопасной версии Kiro IDE. Дополнительные сведения доступны в упомянутой статье.
CVE-2026-89332 - Kiro IDE Sensitive Workspace Data Exfiltration via Agent-Written Workspace Configuration aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-89090 - Отказ в обслуживании в декодере заголовка потока событий в AWS SDK для Go v2

Идентификатор бюллетеня: 2026-110-AWS Область: AWS Тип контента: Важное (требует внимания) Дата публикации: 09.11.2026 10:00 PDTОписание:Существует проблема в декодере заголовков EventStream в AWS SDK для Go v2 в версиях до 23.03.2026. Злоумышленник может отправить некорректный кадр ответа EventStream, содержащий специально сформированный байт типа значения заголовка вне допустимого диапазона, что может привести к завершению работы хост-процесса.Затронутые версии: < 23.03.2026Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, касающейся этого бюллетеня безопасности AWS.
CVE-2026-89090 - Denial of service in the event stream header decoder in AWS SDK for Go v2 aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-18061 - Внешняя сущность XML (XXE) в AWS Advanced JDBC Wrapper RemoteQueryCachePlugin

ID бюллетеня: 2026-109-AWS Область действия: AWS Тип содержания: Важен (требует внимания) Дата публикации: 09/11/2026 09:30 AM PDT Описание: AWS Advanced JDBC Wrapper — это библиотека с открытым исходным кодом, которая улучшает существующие драйверы JDBC с уникальными для AWS возможностями, такими как резервное переключение Aurora, аутентификация IAM и автоматизированное кэширование SQL-запросов для приложений, подключающихся к Amazon Aurora, RDS MySQL и RDS MariaDB. Мы выявили CVE-2026-18061 — неправильное ограничение ссылок на внешние сущности XML (XXE) в опциональном RemoteQueryCachePlugin. Когда этот плагин активирован с общим кэшом, актёр с доступом к записи к этой инфраструктуре кэша может вместить созданный XML в кэшированное значение столбца. Когда приложение впоследствии читает этот кэшированный результат как XML, XML-парсеры обёртки разрешают внешние сущности, что может позволить актёру раскрывать чувствительные файлы, доступные для чтения процессом приложения, включая сохранённые данные базы данных и ролевые учетные данные IAM. Изменённые версии: >= 3.3.0 и <= 4.2.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-18061 - XML External Entity (XXE) in AWS Advanced JDBC Wrapper RemoteQueryCachePlugin aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-89065 и CVE-2026-89066: Проблема с projen - Обход пути и внедрение команд ОС

AWS выпустила важное бюллетень безопасности, касающийся уязвимостей в инструменте с открытым исходным кодом projen. Projen используется для определения и синтеза конфигураций программных проектов в виде кода. Были выявлены две конкретные проблемы, затрагивающие различные компоненты projen. CVE-2026-89065 — это уязвимость обхода относительных путей в компоненте очистки манифеста файлов. Это может позволить злоумышленникам удалять файлы и каталоги за пределами каталога проекта. Эта уязвимость присутствует в версиях projen до 0.101.37. Исправление для этой проблемы автоматически применяется средой выполнения projen при следующем запуске. CVE-2026-89066 — это уязвимость внедрения команд ОС в компоненте синтеза задач. Злоумышленники могут использовать это для выполнения произвольных команд. Это возможно через специально созданные значения конфигурации проекта или имена файлов. Эта уязвимость затрагивает версии projen до 0.103.0. AWS рекомендует пользователям ознакомиться с их статьей для получения самой актуальной и полной информации.
CVE-2026-89065 and CVE-2026-89066: Issue with projen - Path traversal and OS command injection aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-89049 - Подделка серверных запросов в функции переадресации портов менеджера сеансов в агенте AWS Systems Manager

Данный бюллетень посвящен критической уязвимости безопасности в агенте AWS Systems Manager (SSM Agent). Уязвимость, идентифицированная как CVE-2026-89049, представляет собой проблему подделки запросов на стороне сервера. Она конкретно затрагивает функциональность переадресации портов удаленного хоста SSM Agent. Недостаток возникает из-за неправильной проверки эквивалентных представлений адресов. Аутентифицированный пользователь с разрешениями на переадресацию портов может использовать это для обхода списков запрещенных назначений. Этот обход позволяет им достигать локальных конечных точек. Эксплуатация может привести к компрометации временных учетных данных роли IAM управляемого экземпляра. Затем злоумышленник может выдать себя за экземпляр, используя эти учетные данные. Затронуты версии SSM Agent до 3.3.4851.0, при условии, что они поддерживают переадресацию портов удаленного хоста. Пользователям настоятельно рекомендуется ознакомиться с прилагаемой статьей для получения исчерпывающих сведений и рекомендаций по устранению уязвимости.
CVE-2026-89049 - Server-side request forgery in the Session Manager port forwarding functionality in AWS Systems Manager Agent aws.amazon.com
RSS Hunter RSS Hunter • 10 сент.

CVE-2026-85228 - Переполнение целого числа при проверке буфера тензора в Deep Java Library

ID бюллетеня: 2026-106-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 09/10/2026 10:00 AM PDT Описание: Deep Java Library (DJL) — это открытый, независимый от движка Java-фреймворк для глубокого обучения, разработанный и поддерживаемый компанией Amazon. AWS выявила CVE-2026-85228 — целочисленное переполнение компонента проверки тензорного буфера DJL на всех платформах. Созданная тензорная нагрузка, объявляющая фигуру, размер которой вычисленный байт превышает 32-битный знаковый целочисленный диапазон, вызывает обёртывание размера, позволяя недостаточно большому буферу пройти проверку; затем последующая тензорная операция выходит за пределы границ. При использовании удалённый неаутентифицированный актор может получить информацию из соседней памяти процесса или вызвать отказ в обслуживании. Выпущено исправление этой проблемы, и мы рекомендуем пользователям DJL обновиться до версии 0.37.0 или более поздней. Изменённые версии: >=0.13.0 И <=0.36.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-85228 - Integer overflow in tensor buffer validation in Deep Java Library aws.amazon.com
RSS Hunter RSS Hunter • 10 сент.