TheNote
AWS Latest Bulletins на русско... Заметка
GooglePlay AppStore

AWS Latest Bulletins на русском

Указанная веб-страница AWS посвящена бюллетеням безопасности. Это один из надежных источников распространения информации о последних уведомлениях и обновлениях системы безопасности. Бюллетени в основном охватывают рекомендации по безопасности, внеполосные исправления и другие обновления безопасности продуктов. Эти бюллетени позволяют пользователям быть в курсе последних событий в области безопасности, обеспечивая безопасность и соответствие их инфраструктуры нормативным требованиям.
Latest Bulletins aws.amazon.com
RSS aws.amazon.com
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

CVE-2026-104019 - Внедрение команд ОС в скрипт запуска Studio Space в Amazon SageMaker Distribution

Amazon SageMaker Unified Studio — это сервис AWS, который объединяет разработку данных, аналитики и ИИ. Он позволяет пользователям получать доступ к организационным данным и работать с ними, используя специализированные инструменты. В процессе запуска SageMaker Spaces в Unified Studio была обнаружена критическая уязвимость, CVE-2026-104019. Эта проблема вызвана некорректной обработкой деталей сетевого соединения в процессе валидации. При определенных обстоятельствах эта уязвимость может привести к произвольному выполнению кода в SageMaker Space другого участника проекта. Если включена функция Trusted Identity Propagation, участник может получить доступ к временным учетным данным роли выполнения другого участника. Эти учетные данные затем могут быть использованы для вызова нижестоящих сервисов AWS от имени этого участника. AWS внедрила исправление для устранения этой уязвимости путем санитарной обработки деталей соединения во время валидации при запуске. Исправление было развернуто по всему миру и автоматически применится ко всем Spaces при их следующем запуске. Затронуты несколько версий, включая определенные диапазоны 2.x, 3.x, 4.0.x, 4.1.x, 4.2.x и 4.3.x. Более старые версии (до 2.8.0 и 3.3.0) и версии 4.5.x не затронуты.
CVE-2026-104019 - OS command injection in the Studio Space startup script in Amazon SageMaker Distribution aws.amazon.com
RSS Hunter RSS Hunter • 2 окт.

CVE-2026-103956, CVE-2026-103957 и CVE-2026-103958 — Проблемы в Loom для AWS

AWS выпустила важное уведомление относительно уязвимостей в Loom for AWS, платформе оркестрации ИИ-агентов с открытым исходным кодом. Были выявлены и устранены три критические проблемы, требующие обновления до версии 1.7.0. Первая уязвимость, CVE-2026-103956, представляла собой обход аутентификации, который позволял любому сетевому клиенту осуществлять административное управление плоскостью управления агентом. Это было исправлено в версии 1.6.1. Вторая проблема, CVE-2026-103957, касалась раскрытия токенов и учетных данных OAuth2. Это могло произойти, когда аутентифицированный пользователь настраивал определенный URL обнаружения, что приводило к отправке конфиденциальной информации на сторонние конечные точки. Эта уязвимость была полностью устранена в версии 1.7.0. Третья уязвимость, CVE-2026-103958, позволяла аутентифицированным пользователям направлять запросы на подключение к произвольным внутренним сетевым расположениям. Это также включало возможность чтения ответов, в том числе с конечной точки выдачи учетных данных контейнера. Эта проблема также была решена в версии 1.7.0. Пользователям настоятельно рекомендуется обновить ПО до последней версии и исправить любой производный код. В уведомлении подчеркивается важность своевременного применения этих обновлений безопасности. Дополнительные сведения можно найти в прилагаемой статье.
CVE-2026-103956, CVE-2026-103957, and CVE-2026-103958 - Issues in Loom for AWS aws.amazon.com
RSS Hunter RSS Hunter • 2 окт.

CVE-2026-103505 - Внедрение опций монтирования в драйвере Amazon EFS CSI

Идентификатор бюллетеня: 2026-120-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 01.10.2026 08:30 по тихоокеанскому времениОписание: Драйвер Amazon EFS CSI — это драйвер Container Storage Interface, который позволяет кластерам Kubernetes использовать Amazon Elastic File System. Мы выявили CVE-2026-103505, где актор с правами создания PersistentVolume может внедрить дополнительные опции монтирования через атрибут mounttargetipmap volumeAttribute. Добавление значений с разделёнными запятой к значению внутри этой JSON-карты заставляет утилиту mount парсировать их как отдельные варианты монтирования. Изменённые версии: >= v3.1.0 И <= v3.4.2Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-103505 - Mount Option Injection in Amazon EFS CSI Driver aws.amazon.com
RSS Hunter RSS Hunter • 2 окт.

CVE-2026-104002: Ошибка обработки с открытым доступом в утилите маскирования данных в Powertools for AWS Lambda (Python)

Идентификатор бюллетеня: 2026-123-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 10/01/2026 14:00 PM PDTОписание: Powertools for AWS Lambda (Python) — это набор инструментов для разработчиков, который реализует лучшие практики безсерверного использования и увеличивает скорость работы разработчиков. Мы выявили CVE-2026-104002 — проблему с ошибкой с ошибками в утилите маскировки данных Powertools for AWS Lambda (Python). Эта проблема может позволить акторам читать чувствительные значения полей, которые приложение планировало маскировать. Изменённые версии: >=3.6.0 И <=3.34.0Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-104002: Fail-open error handling in the data masking utility in Powertools for AWS Lambda (Python) aws.amazon.com
RSS Hunter RSS Hunter • 1 окт.

CVE-2026-104020 - Неконтролируемая рекурсия в парсере Ion в Amazon Ion Python

Идентификатор бюллетеня: 2026-122-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 01.10.2026 13:30 PDTОписание:Amazon Ion Python — это реализация формата данных Amazon Ion с открытым исходным кодом на языке Python. Мы выявили CVE-2026-104020, проблему в средстве чтения Ion в Amazon Ion Python версий до 0.15.0, где специально созданное, глубоко вложенное значение Ion могло привести к возникновению ошибки или сбою приложения, что привело бы к отказу в обслуживании.Затронутые версии: < 0.15.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-104020 - Uncontrolled recursion in the Ion reader in Amazon Ion Python aws.amazon.com
RSS Hunter RSS Hunter • 1 окт.

CVE-2026-97662 - Внедрение аргументов в diff scan AWS security-agent-mcp-server

Идентификатор бюллетеня: 2026-121-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 10/01/2026 10:30 AM PDTОписание: security-agent-mcp-server — это сервер с открытым исходным кодом Model Context Protocol (MCP), опубликованный AWS в репозитории awslabs/mcp, который ассистенты ИИ используют для выполнения локальных сканирования безопасности (включая дифференциальные «diff»-сканирования) исходного кода. Мы выявили CVE-2026-97662 — проблему инъекции аргументов в операции diff scan: сформированное ссылочное значение, приведённое для скана, интерпретируется как командная строка, а не как ревизия, позволяющая контекстно-зависящему актору создавать, перезаписывать или обрезать произвольные файлы на хосте вне заданного каталога рабочего пространства, обходя контроль confinement workspace-confinement сервера. Изменённые версии: >= 0.1.1 И < 0.2.0Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-97662 - Argument injection in AWS security-agent-mcp-server diff scan aws.amazon.com
RSS Hunter RSS Hunter • 1 окт.

CVE-2026-100308 - Произвольное выполнение команд в GluonTS во время десериализации модели

Идентификатор бюллетеня: 2026-119-AWSОбласть применения: AWSТип контента: Важное (требует внимания)Дата публикации: 29.09.2026 08:00 PDTОписание:GluonTS — это библиотека с открытым исходным кодом для моделей временных рядов на основе глубокого обучения. Мы выявили CVE-2026-100308, которая позволяет выполнять произвольные команды при десериализации недоверенных артефактов модели.Десериализация недоверенных данных в компоненте загрузки модели в Amazon GluonTS до версии 0.17.0 может позволить злоумышленникам, в зависимости от контекста, выполнять произвольные команды операционной системы с привилегиями процесса загрузки через специально созданный сериализованный каталог модели. Проблема возникает всякий раз, когда пользователь вызывает Predictor.deserialize() или любой RepresentablePredictor.deserialize() для каталога модели, который он не полностью контролирует.Затронутые версии: <0.17.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Просмотреть статью
CVE-2026-100308 - GluonTS arbitrary command execution during model deserialization aws.amazon.com
RSS Hunter RSS Hunter • 29 сент.

CVE-2026-96883 - Ошибка типа в AWS pgcollection позволяет удаленное выполнение кода

Идентификатор бюллетеня: 2026-118-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 24.09.2026 12:00 PDTОписание:pgcollection — это расширение PostgreSQL с открытым исходным кодом. Мы выявили CVE-2026-96883, проблему в логике приведения типов pgcollection. При запросе сохраненного значения icollection как типа, несовместимого с тем, как оно было фактически сохранено, расширение неправильно интерпретирует представление данных, позволяя аутентифицированному пользователю базы данных вызвать сбой серверной части PostgreSQL или выполнить произвольный код.Затронутые версии: pgcollection v2.0.0 по v2.1.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.Просмотреть статью
CVE-2026-96883 - Type confusion in AWS pgcollection allows remote code execution aws.amazon.com
RSS Hunter RSS Hunter • 24 сент.

CVE-2026-94450 - Возможная атака типа "отказ в обслуживании" при настройке отправки пакетов повторных попыток в s2n-quic

Идентификатор бюллетеня: 2026-116-AWSОбласть: AWSТип контента: Важное (требует внимания)Дата публикации: 22.09.2026 13:00 PDTОписание:s2n-quic — это реализация протокола QUIC на языке Rust. Мы выявили CVE-2026-94450 — проблему с некорректной проверкой длины Destination Connection ID при настройке сервера на отправку пакетов Retry. s2n-quic версии 1.88.0 и более ранних версий позволяют неаутентифицированному пользователю завершить работу серверной конечной точки с помощью одного специально сформированного UDP-датаграммы. Никакие сервисы AWS не затронуты этой проблемой, и клиентам сервисов AWS не требуется предпринимать никаких действий. Затронуты только серверные конечные точки, специально настроенные на отправку пакетов Retry.Затронутые версии: <= v1.88.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-94450 - Potential denial of service when configured to send Retry packets in s2n-quic aws.amazon.com
RSS Hunter RSS Hunter • 22 сент.

CVE-2026-94384 - Отсутствие авторизации в AmazonConnectSalesforceLambda sfExecuteAWSService

Идентификатор бюллетеня: 2026-115-AWSОбласть действия: AWSТип контента: Важный (требует внимания)Дата публикации: 22.09.2026 10:00 по тихоокеанскому времениОписание: Amazon Connect Salesforce Lambda (AmazonConnectSalesforceLambda) — это бессерверное приложение репозитория приложений, предоставляющее функции Lambda для интеграции Amazon Connect с Salesforce. Мы выявили CVE-2026-94384 — отсутствующую проблему авторизации функции sfExecuteAWSService Lambda, которая используется только при начальной установке. Функция отправляет параметры, предоставленные вызывающим, в привилегированные API сервиса AWS без проверки авторизации вызывающего. В результате принципал IAM с разрешением lambda:InvokeFunction на этой функции может выполнять операции AWS, которые его собственные разрешения IAM иначе отклонили бы. Изменённые версии: >= 5.15 И <= 5.24.16Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-94384 - Missing Authorization in AmazonConnectSalesforceLambda sfExecuteAWSService aws.amazon.com
RSS Hunter RSS Hunter • 22 сент.

CVE-2026-92943 - Некорректная проверка сертификата с несоответствием хоста в AWS IoT Device SDK для Python

ID бюллетеня: 2026-115-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 17.09.2026 12:00 PDT Описание: AWS IoT Device SDK for Python (AWSIoTPythonSDK) — это открытый SDK, позволяющий IoT-устройствам и шлюзам подключаться к AWS IoT Core через MQTT. Мы определили CVE-2026-92943 на уровне TLS подключения клиента MQTT, где клиент не проверял, совпадает ли серверный сертификат с именем AWS IoT Core конечного устройства. В Python 3.7 и более поздних версиях противник посередине, находящийся в сети, мог представить сертификат для несвязанного хоста, выданный любым центром сертификации в хранилище доверия устройства, выдать себя за конечную точку AWS IoT-ядра, читать телеметрию устройства и внедрять произвольные MQTT-сообщения, которые устройство обрабатывает как аутентичные. Оба пути соединения по умолчанию SDK были затронуты: взаимная аутентификация X.509 на порте 8883 и WebSocket с SigV4 на порте 443. Путь ALPN порта 443 не был затронут. Изменённые версии: >=1.5.3 И <=1.6.0 (на Python 3.7 и позднее) Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-92943 - Improper validation of certificate with host mismatch in AWS IoT Device SDK for Python aws.amazon.com
RSS Hunter RSS Hunter • 17 сент.

CVE-2026-86831: Некорректная проверка уникальности идентификатора пода в aws-network-policy-agent в Amazon EKS

Идентификатор бюллетеня: 2026-113-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 16.09.2026 12:30 PDTОписание:Network Policy Agent — это функция управления политиками EKS. Мы выявили CVE-2026-86831, обход NetworkPolicy между пространствами имен в Amazon EKS Network Policy Agent (aws-network-policy-agent) до версии v1.4.0. Идентификаторы подов формируются путем объединения имени пода и пространства имен с разделителем-дефисом, который является допустимым символом как в именах подов Kubernetes, так и в именах пространств имен. Эта неоднозначность может привести к созданию одинаковых идентификаторов для подов в разных пространствах имен, что потенциально может позволить обойти применение NetworkPolicy.Затронутые версии: - 1.14.0<1.22.3 Управляемое дополнение Amazon VPC CNI - < v1.4.0 Network Policy AgentПожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-86831: Improper validation of pod identifier uniqueness in aws-network-policy-agent in Amazon EKS aws.amazon.com
RSS Hunter RSS Hunter • 16 сент.

CVE-2026-86830 - Некорректное назначение привилегий в системе управления временным повышенным доступом (TEAM) для AWS IAM Identity Center

Идентификатор бюллетеня: 2026-112-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 14.09.2026 10:45 PDTОписание:Temporary Elevated Access Management (TEAM) — это открытое решение AWS для управления временным повышенным доступом через AWS IAM Identity Center. Мы выявили CVE-2026-86830, при котором аутентифицированный пользователь с доступом на уровне приложения мог получить непреднамеренный временный повышенный доступ к учетным записям AWS, управляемым TEAM.Затронутые версии: <1.5.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, касающейся этого бюллетеня безопасности AWS.
CVE-2026-86830 - Incorrect privilege assignment in Temporary Elevated Access Management (TEAM) for AWS IAM Identity Center aws.amazon.com
RSS Hunter RSS Hunter • 14 сент.

CVE-2026-89332 - Утечка конфиденциальных данных рабочей области Kiro IDE через конфигурацию рабочей области, записанную агентом

Данный бюллетень посвящен уязвимости безопасности в Kiro IDE, конкретно CVE-2026-89332. Kiro IDE — это среда разработки на базе искусственного интеллекта, предназначенная для помощи разработчикам. Уязвимость позволяет злоумышленнику в недоверенном рабочем пространстве изменять файл настроек проекта. Эта модификация может перенаправить URL реестра Powers Kiro на внешний сервер. В результате конфиденциальные данные рабочего пространства могут быть украдены на этот вредоносный конечный узел. Хотя Kiro представляет изменения для одобрения пользователем, изменение файла происходит до ответа пользователя. Открытие панели Powers до одобрения инициирует передачу данных. Эта проблема затрагивает версии Kiro IDE до 0.8.135. Пользователям рекомендуется обновиться до безопасной версии Kiro IDE. Дополнительные сведения доступны в упомянутой статье.
CVE-2026-89332 - Kiro IDE Sensitive Workspace Data Exfiltration via Agent-Written Workspace Configuration aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-89090 - Отказ в обслуживании в декодере заголовка потока событий в AWS SDK для Go v2

Идентификатор бюллетеня: 2026-110-AWS Область: AWS Тип контента: Важное (требует внимания) Дата публикации: 09.11.2026 10:00 PDTОписание:Существует проблема в декодере заголовков EventStream в AWS SDK для Go v2 в версиях до 23.03.2026. Злоумышленник может отправить некорректный кадр ответа EventStream, содержащий специально сформированный байт типа значения заголовка вне допустимого диапазона, что может привести к завершению работы хост-процесса.Затронутые версии: < 23.03.2026Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, касающейся этого бюллетеня безопасности AWS.
CVE-2026-89090 - Denial of service in the event stream header decoder in AWS SDK for Go v2 aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-18061 - Внешняя сущность XML (XXE) в AWS Advanced JDBC Wrapper RemoteQueryCachePlugin

ID бюллетеня: 2026-109-AWS Область действия: AWS Тип содержания: Важен (требует внимания) Дата публикации: 09/11/2026 09:30 AM PDT Описание: AWS Advanced JDBC Wrapper — это библиотека с открытым исходным кодом, которая улучшает существующие драйверы JDBC с уникальными для AWS возможностями, такими как резервное переключение Aurora, аутентификация IAM и автоматизированное кэширование SQL-запросов для приложений, подключающихся к Amazon Aurora, RDS MySQL и RDS MariaDB. Мы выявили CVE-2026-18061 — неправильное ограничение ссылок на внешние сущности XML (XXE) в опциональном RemoteQueryCachePlugin. Когда этот плагин активирован с общим кэшом, актёр с доступом к записи к этой инфраструктуре кэша может вместить созданный XML в кэшированное значение столбца. Когда приложение впоследствии читает этот кэшированный результат как XML, XML-парсеры обёртки разрешают внешние сущности, что может позволить актёру раскрывать чувствительные файлы, доступные для чтения процессом приложения, включая сохранённые данные базы данных и ролевые учетные данные IAM. Изменённые версии: >= 3.3.0 и <= 4.2.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-18061 - XML External Entity (XXE) in AWS Advanced JDBC Wrapper RemoteQueryCachePlugin aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-89065 и CVE-2026-89066: Проблема с projen - Обход пути и внедрение команд ОС

AWS выпустила важное бюллетень безопасности, касающийся уязвимостей в инструменте с открытым исходным кодом projen. Projen используется для определения и синтеза конфигураций программных проектов в виде кода. Были выявлены две конкретные проблемы, затрагивающие различные компоненты projen. CVE-2026-89065 — это уязвимость обхода относительных путей в компоненте очистки манифеста файлов. Это может позволить злоумышленникам удалять файлы и каталоги за пределами каталога проекта. Эта уязвимость присутствует в версиях projen до 0.101.37. Исправление для этой проблемы автоматически применяется средой выполнения projen при следующем запуске. CVE-2026-89066 — это уязвимость внедрения команд ОС в компоненте синтеза задач. Злоумышленники могут использовать это для выполнения произвольных команд. Это возможно через специально созданные значения конфигурации проекта или имена файлов. Эта уязвимость затрагивает версии projen до 0.103.0. AWS рекомендует пользователям ознакомиться с их статьей для получения самой актуальной и полной информации.
CVE-2026-89065 and CVE-2026-89066: Issue with projen - Path traversal and OS command injection aws.amazon.com
RSS Hunter RSS Hunter • 11 сент.

CVE-2026-89049 - Подделка серверных запросов в функции переадресации портов менеджера сеансов в агенте AWS Systems Manager

Данный бюллетень посвящен критической уязвимости безопасности в агенте AWS Systems Manager (SSM Agent). Уязвимость, идентифицированная как CVE-2026-89049, представляет собой проблему подделки запросов на стороне сервера. Она конкретно затрагивает функциональность переадресации портов удаленного хоста SSM Agent. Недостаток возникает из-за неправильной проверки эквивалентных представлений адресов. Аутентифицированный пользователь с разрешениями на переадресацию портов может использовать это для обхода списков запрещенных назначений. Этот обход позволяет им достигать локальных конечных точек. Эксплуатация может привести к компрометации временных учетных данных роли IAM управляемого экземпляра. Затем злоумышленник может выдать себя за экземпляр, используя эти учетные данные. Затронуты версии SSM Agent до 3.3.4851.0, при условии, что они поддерживают переадресацию портов удаленного хоста. Пользователям настоятельно рекомендуется ознакомиться с прилагаемой статьей для получения исчерпывающих сведений и рекомендаций по устранению уязвимости.
CVE-2026-89049 - Server-side request forgery in the Session Manager port forwarding functionality in AWS Systems Manager Agent aws.amazon.com
RSS Hunter RSS Hunter • 10 сент.

CVE-2026-85228 - Переполнение целого числа при проверке буфера тензора в Deep Java Library

ID бюллетеня: 2026-106-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 09/10/2026 10:00 AM PDT Описание: Deep Java Library (DJL) — это открытый, независимый от движка Java-фреймворк для глубокого обучения, разработанный и поддерживаемый компанией Amazon. AWS выявила CVE-2026-85228 — целочисленное переполнение компонента проверки тензорного буфера DJL на всех платформах. Созданная тензорная нагрузка, объявляющая фигуру, размер которой вычисленный байт превышает 32-битный знаковый целочисленный диапазон, вызывает обёртывание размера, позволяя недостаточно большому буферу пройти проверку; затем последующая тензорная операция выходит за пределы границ. При использовании удалённый неаутентифицированный актор может получить информацию из соседней памяти процесса или вызвать отказ в обслуживании. Выпущено исправление этой проблемы, и мы рекомендуем пользователям DJL обновиться до версии 0.37.0 или более поздней. Изменённые версии: >=0.13.0 И <=0.36.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-85228 - Integer overflow in tensor buffer validation in Deep Java Library aws.amazon.com
RSS Hunter RSS Hunter • 10 сент.

CVE-2026-85656 - Внедрение команд ОС в Amazon log4j-cve-2021-44228-hotpatch

Идентификатор бюллетеня: 2026-098-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 04.09.2026 10:30 PDTОписание:log4j-cve-2021-44228-hotpatch — это инструмент, который внедряет Java-агент в работающий процесс JVM. Агент попытается исправить метод lookup() всех загруженных экземпляров org.apache.logging.log4j.core.lookup.JndiLookup, чтобы он безусловно возвращал строку "Patched JndiLookup::lookup()". Он предназначен для устранения проблемы удаленного выполнения кода CVE-2021-44228 в Log4j без перезапуска Java-процесса. Мы выявили CVE-2026-85656, проблему внедрения команд ОС в пакете log4j-cve-2021-44228-hotpatch в Amazon Linux до версии 1.3-9.amzn2, которая может позволить локальному пользователю выполнять произвольные команды с правами root через Java-процесс, исполняемый путь которого содержит встроенные символы новой строки.Затронутые версии: <=1.3-8.amzn2Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85656 - OS command injection in Amazon log4j-cve-2021-44228-hotpatch aws.amazon.com
RSS Hunter RSS Hunter • 9 сент.

CVE-2026-87912 и CVE-2026-87913: Отсутствие проверки владения S3-бакетом в плагине AWS Security Agent для aws-agents-for-devsecops и MCP Server

ID бюллетеня: 2026-105-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 09/10/2026 08:30 AM PDT Описание: AWS Security Agent — это управляемый сервис AWS, который предоставляет обзоры безопасности кода на базе искусственного интеллекта, моделирование угроз и тестирование на проникновение. Мы выявили CVE-2026-87912, где отсутствующая проверка собственности на корзину S3 в плагине AWS Security Agent в Amazon aws-agents-for-devsecops до версии 1.1.0 могла позволить удалёным злоумышленникам получить приватный архив исходного кода отсканированного рабочего пространства, включая учетные данные и состояние инфраструктуры, содержащиеся в этом архиве, через заранее зарегистрированное хранилище, имя которого происходит от общеизвестного идентификатора аккаунта. Мы выявили CVE-2026-87913, где отсутствующая проверка владения корзином S3 на сервере MCP AWS Security Agent до версии 0.2.0 могла позволить удаленным злоумышленникам получить приватный архив исходного кода отсканированного рабочего пространства, включая учетные данные и состояние инфраструктуры, содержащиеся в этом архиве, через заранее зарегистрированный корет хранилища, название которого происходит от общеизвестного идентификатора аккаунта. Изменённые версии: - <=1.0.0 - >=0.1.0 И <=0.1.5 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-87912 and CVE-2026-87913: Missing S3 bucket ownership verification in the AWS Security Agent plugin for aws-agents-for-devsecops and MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 9 сент.

CVE-2026-85788 - Проблема с awslabs mysql-mcp-server

Идентификатор бюллетеня: 2026-103-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 09.09.2026 09:30 PDTОписание:Мы выявили проблему в awslabs.mysql-mcp-server (открытый, самостоятельно размещаемый сервер протокола контекста модели, распространяемый через github.com/awslabs/mcp и PyPI). В затронутых версиях, при определенных условиях, принудительное применение режима только для чтения могло быть обойдено с помощью встроенных SQL-комментариев, что позволяло выполнить оператор, который проверка режима только для чтения должна была заблокировать. Режим только для чтения, предоставляемый сервером, является лучшей попыткой защиты и не заменяет правильно настроенные разрешения базы данных; эффективной границей являются разрешения настроенного пользователя MySQL.Эта проблема не затрагивает конфиденциальность или целостность каких-либо сервисов AWS. awslabs.mysql-mcp-server — это клиентский, самостоятельно управляемый пакет; клиенты контролируют установку и привилегии настраиваемых учетных данных базы данных.Затронутые версии: awslabs.mysql-mcp-server <= 1.0.21Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85788 - Issue with awslabs mysql-mcp-server aws.amazon.com
RSS Hunter RSS Hunter • 9 сент.

CVE-2026-84942 - Сохраненный межсайтовый скриптинг через обход функции выражения Vega в OpenSearch Dashboards

В OpenSearch Dashboards выявлена критическая уязвимость межсайтового скриптинга с возможностью хранения. Эта проблема находится в реализации функции выражения Vega. Удаленный аутентифицированный злоумышленник с правами на запись в дашборды может использовать этот недостаток. Сохранив вредоносную визуализацию Vega, злоумышленник может внедрить и выполнить произвольный JavaScript. Этот скрипт затем будет выполняться в контексте браузера других пользователей, просматривающих дашборд. Уязвимость затрагивает множество версий самостоятельно управляемых OpenSearch Dashboards, в частности, от v2.0.0 до v3.5.0. Для самостоятельно управляемых экземпляров были выпущены версии v2.19.5 и v3.6.0 для устранения этой уязвимости. Amazon OpenSearch Service, управляемое предложение AWS, также затронуто в различных версиях. Затронутые управляемые версии варьируются от v2.3.0 до v3.5.0. Важно отметить, что Amazon OpenSearch Serverless не подвержен этой конкретной угрозе. Пользователям настоятельно рекомендуется ознакомиться с предоставленной статьей для получения полной информации.
CVE-2026-84942 - Stored Cross-Site Scripting via Vega Expression Function Bypass in OpenSearch Dashboards aws.amazon.com
RSS Hunter RSS Hunter • 8 сент.

CVE-2026-85787 - Неполный список недопустимых входных данных в компоненте проверки SQL в Amazon awslabs postgres-mcp-server для изменения данных за пределами области только для чтения

Идентификатор бюллетеня: 2026-101-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 04.09.2026 13:00 PDTОписание:Мы выявили CVE-2026-85787, неполный список недопустимых входных данных в компоненте проверки SQL в Amazon awslabs postgres-mcp-server до версии 1.1.7, который может позволить неаутентифицированному субъекту изменять данные за пределами области только для чтения, помещая специально сформированный SQL в контент, который отправляется при взаимодействии аутентифицированного пользователя с сервером MCP.Затронутые версии: любая версия пакета pypi < 1.1.7Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85787 - An incomplete list of disallowed inputs in the SQL validation component in Amazon awslabs postgres-mcp-server to modify data beyond the read-only scope aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85654 - Внедрение кода в генератор CDK в Amazon awslabs.dynamodb-mcp-server

ID бюллетеня: 2026-097-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 09/04/2026 10:00 AM PDT Описание: Amazon awslabs.dynamodb-mcp-server — это сервер с открытым исходным кодом Model Context Protocol (MCP), который позволяет AI-ассистентам по программированию взаимодействовать с Amazon DynamoDB, включая проектирование таблиц, моделирование данных и генерацию инфраструктуры CDK. Мы выявили CVE-2026-85654 — неправильную нейтрализацию специальных элементов, используемых в шаблонном движке компонента генератора CDK. В определённых условиях контекстно-зависимый актор может выполнять произвольный код на хосте, который разгортает сгенерированное приложение через созданные имена таблиц, индексов или атрибутов в файле модели данных. Изменённые версии: >= 2.0.10 И <= 2.1.5 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-85654 - Code injection in the CDK generator in Amazon awslabs.dynamodb-mcp-server aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85786 - Неполное исправление для CVE-2026-75936, отказ в обслуживании с усилением памяти в Amazon ion-java

Идентификатор бюллетеня: 2026-100-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 04.09.2026 12:30 PDTОписание:ion-java — это библиотека Java, реализующая спецификацию формата данных Amazon Ion. Мы выявили CVE-2026-85786, отказ в обслуживании с усилением памяти через расширение сильно сжатых данных. ion-java 1.12.0 добавила автоматическое отключение GZIP-декомпрессии для CVE-2026-75936, но реализация отключения в 1.12.0 оказалась недостаточной для решения проблемы.Затронутые версии: < 1.12.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85786 - Incomplete fix for CVE-2026-75936 memory-amplification denial of service in Amazon ion-java aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85781 - Непроверенное владение точкой доступа в Amazon EFS CSI Driver

Идентификатор бюллетеня: 2026-099-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 04.09.2026 11:45 PDTОписание:Amazon EFS CSI Driver — это драйвер Kubernetes Container Storage Interface (CSI) с открытым исходным кодом, который позволяет рабочим нагрузкам Kubernetes использовать файловые системы Amazon EFS. Мы выявили CVE-2026-85781, проблему в логике удаления томов драйвера. Когда контроллер настроен с нестандартной опцией --delete-access-point-root-dir=true, он не проверял, что точка доступа EFS, на которую ссылается дескриптор тома PersistentVolume, принадлежит файловой системе, на которую ссылается тот же дескриптор тома. Аутентифицированный пользователь Kubernetes с разрешением на создание PersistentVolumes мог использовать специально созданный дескриптор тома, чтобы заставить контроллер рекурсивно удалять каталоги из файловой системы Amazon EFS, которые пользователь в противном случае не имел права изменять. Эта проблема не затрагивает сам Amazon EFS; элементы управления доступом Amazon EFS работали как задумано.Затронутые версии: <=3.4.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85781 - Unverified access point ownership in Amazon EFS CSI Driver aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85028: Создание временного файла в каталоге с небезопасными правами доступа в AWS FPGA Development Kit

Идентификатор бюллетеня: 2026-096-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 03.09.2026 11:00 PDTОписание:AWS FPGA Developer Kit — это комплект для разработки аппаратного и программного обеспечения, который позволяет разработчикам создавать ускорители для высокопроизводительных карт ускорителей на экземплярах EC2 F2. Мы выявили CVE-2026-85028, при котором создание временного файла в каталоге с небезопасными разрешениями в компоненте установки инструмента управления FPGA в AWS FPGA Development Kit (aws-fpga) до версии 2.3.4 может позволить локальным пользователям выполнять произвольный код с правами root через специально созданное содержимое оболочки, помещенное по предсказуемому пути во временный каталог, доступный для записи всем, который шаг установки считывает после повышения собственных привилегий.Затронутые версии: < 2.3.4Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85028: Creation of Temporary File in Directory with Insecure Permissions in AWS FPGA Development Kit aws.amazon.com
RSS Hunter RSS Hunter • 3 сент.

CVE-2026-85012 - Внедрение команд ОС в SDK Amazon CodeCatalyst blueprints

Идентификатор бюллетеня: 2026-095-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 03.09.2026 10:00 AM PDTОписание:Шаблоны Amazon CodeCatalyst — это повторно используемые шаблоны проектов, которые генерируют программный проект. Пакет npm @amazon-codecatalyst/blueprints.blueprint — это фреймворк с открытым исходным кодом, на котором строят авторы шаблонов, публикуемый с github.com/aws/codecatalyst-blueprints.Мы выявили CVE-2026-85012 в фреймворке ресинтеза шаблонов. Во время ресинтеза фреймворк считывает файл .ownership-file из существующего проекта, чтобы определить, какие файлы может изменять шаблон. В версиях до 0.3.156 поле owner записи стратегии слияния [local] в файле .ownership-file передавалось в команду операционной системы через оболочку без проверки. Пользователь, имеющий разрешение на коммит в репозиторий проекта, мог поместить метасимволы оболочки в это поле и выполнить произвольные команды в среде, выполняющей ресинтез, с привилегиями и учетными данными, доступными этой среде.Для использования сервиса Amazon CodeCatalyst никаких действий не требуется. Ресинтез выполняется в изолированной среде для каждого проекта с ограниченными учетными данными, и сервис применяет серверную проверку, которая отклоняет команды стратегии слияния [local], выходящие за рамки ограниченного списка разрешенных форм, в том числе для версий шаблонов, опубликованных до 0.3.156.Затронутые версии: <= 0.3.155Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85012 - OS command injection in the Amazon CodeCatalyst blueprints SDK aws.amazon.com
RSS Hunter RSS Hunter • 3 сент.

CVE-2026-84851 - Неконтролируемая рекурсия в средстве чтения Ion в Amazon Ion-C до версии 1.1.6

Идентификатор бюллетеня: 2026-094-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 02.09.2026 13:30 по тихоокеанскому времениОписание:Amazon Ion-C (ion-c) — это реализация формата сериализации данных Amazon Ion на языке C. Она распространяется как библиотека с открытым исходным кодом (amazon-ion/ion-c), которую приложения встраивают для чтения и записи текстовых и двоичных данных Ion. Мы выявили CVE-2026-84851, проблему неконтролируемой рекурсии в версиях до 1.1.6, которая может позволить удаленному неаутентифицированному злоумышленнику создать данные Ion, исчерпывающие стек вызовов и вызывающие сбой приложения, использующего библиотеку, что приведет к отказу в обслуживании.Затронутые версии: < 1.1.6Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-84851- Uncontrolled recursion in the Ion reader in Amazon Ion-C before 1.1.6 aws.amazon.com
RSS Hunter RSS Hunter • 2 сент.

CVE-2026-83551 - Хранение ключа подписи HMAC в открытом тексте в Amazon SageMaker Python SDK

Идентификатор бюллетеня: 2026-093-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 01.09.2026 11:00 PDTОписание:Компонент конвейера декоратора @step и @remote в SageMaker Python SDK использует ключ HMAC для защиты целостности сериализованных полезных данных функций, хранящихся в S3. Мы выявили проблему, при которой секретный ключ HMAC хранится в открытом тексте в определениях конвейера и доступен через API DescribePipeline.Это позволяет злоумышленнику с ролью в этой учетной записи, имеющей разрешения на вызов DescribePipeline, извлечь ключ, создать полезные данные с облачной сериализацией и действительными HMAC, а также перезаписать объекты S3, добившись выполнения кода в контексте выполнения конвейера другого пользователя в той же учетной записи AWS.Затронутые версии: - Конфигурация HMAC в SageMaker Python SDK v3 < v3.11.0 - Конфигурация HMAC в SageMaker Python SDK v2 < v2.256.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 1 сент.

CVE-2026-83497 - Плагин OpenSearch SQL - Неограниченная десериализация Java в пагинации курсора

Выпущено важное уведомление безопасности для OpenSearch, касающееся конкретно CVE-2026-83497. Эта уязвимость позволяет удаленному аутентифицированному пользователю с минимальными правами выполнять произвольный код, используя конечную точку plugins/sql с вредоносным параметром cursor. Проблема затрагивает версии 2.8–3.6 плагина OpenSearch SQL, управляемого самостоятельно, исправления доступны в версиях 3.7 и 2.19.6. Версии Amazon OpenSearch Service 2.9–3.5 также затронуты, но были исправлены посредством обновлений программного обеспечения сервиса.
CVE-2026-83497 - OpenSearch SQL Plugin - Unrestricted Java Deserialization in Cursor Pagination aws.amazon.com
RSS Hunter RSS Hunter • 31 авг.

CVE-2026-81849 - Обход каталога в плагине aws:downloadContent в amazon-ssm-agent

Идентификатор бюллетеня: 2026-091-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 28.08.2026 11:00 PDTОписание:AWS Systems Manager Agent (amazon-ssm-agent) — это программное обеспечение Amazon, которое работает на экземплярах Amazon Elastic Compute Cloud (Amazon EC2), граничных устройствах, локальных серверах и виртуальных машинах (ВМ). amazon-ssm-agent позволяет Systems Manager обновлять, управлять и настраивать эти ресурсы. Мы выявили CVE-2026-81849, при котором некорректное ограничение пути к файлу в ограниченном каталоге в плагине aws:downloadContent в amazon-ssm-agent до версии 3.3.4515.0 может позволить аутентифицированному удаленному пользователю, чье разрешение ssm:SendCommand ограничено документом AWS-DownloadContent, записывать произвольные файлы за пределами предполагаемого каталога загрузки с правами root через специально созданные ключи объектов в источнике S3, из которого документ направлен на извлечение. Эта проблема может привести к выполнению произвольного кода от имени root, если будут перезаписаны определенные конфиденциальные файлы.Для устранения этой проблемы клиентам следует обновить amazon-ssm-agent до версии 3.3.4515.0 или более поздней.Затронутые версии: Amazon amazon-ssm-agent от 2.0.767.0 до 3.3.4364.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, касающейся этого бюллетеня безопасности AWS.
CVE-2026-81849 - Path traversal in the aws:downloadContent plugin in amazon-ssm-agent aws.amazon.com
RSS Hunter RSS Hunter • 28 авг.

CVE-2026-81838 - Zip Slip обход пути в awsdac (diagram-as-code)

AWS выявила критическую уязвимость, CVE-2026-81838, в своем инструменте командной строки diagram-as-code awsdac. Этот инструмент генерирует диаграммы архитектуры AWS из YAML-определений. Уязвимость представляет собой ошибку Zip Slip или обход пути, затрагивающую извлечение zip-архивов. Злонамеренно созданный zip-файл может привести к тому, что awsdac запишет файлы в произвольные места в системе. Это потенциально может привести к произвольному выполнению кода на машине, на которой работает awsdac. Уязвимость может быть использована при обработке файлов определений из недоверенных источников. Это включает запуск awsdac без надлежащих ограничений доверия или загрузку локальных файлов, которые обходят списки разрешенных URL-адресов. CI/CD конвейеры, обрабатывающие недоверенные файлы определений, особенно подвержены риску. Проблема ограничена локальной машиной, на которой работает awsdac. Она не затрагивает какие-либо сервисы AWS, учетные записи или данные клиентов. Уязвимостью затронуты версии awsdac с 0.10 по 0.23.
CVE-2026-81838 - Zip Slip path traversal in awsdac (diagram-as-code) aws.amazon.com
RSS Hunter RSS Hunter • 28 авг.

CVE-2026-78379 - Обход согласия в инструменте python_repl библиотеки Strands Agents Tools

Выпущено бюллетень безопасности AWS, касающийся Strands Agents, открытого SDK на Python для ИИ-агентов. В бюллетене освещается критическая уязвимость CVE-2026-78379 в пакете strands-agents-tools. В частности, затронут инструмент python_repl, предназначенный для выполнения кода Python на хосте агента после одобрения оператором. Была выявлена некорректная нейтрализация входных данных, используемых для подсказок LLM. Эта ошибка позволяет удаленным злоумышленникам обойти механизм согласия человека. Они могут добиться этого, отправив специально сформированную подсказку через инструмент batch. Инструмент batch может вызывать несколько других инструментов одним вызовом. Специально сформированная подсказка передает non_interactive_mode в качестве именованного аргумента. Этот обход позволяет выполнять произвольный код Python на хосте агента. Затронуты версии Strands Agents Tools до 0.8.5. Пользователям рекомендуется обновиться до версии, устраняющей эту уязвимость.
CVE-2026-78379 - Consent bypass in Strands Agents Tools python_repl tool aws.amazon.com
RSS Hunter RSS Hunter • 25 авг.

CVE-2026-77811 - Сохраненный межсайтовый скриптинг через шаблон интеграции в OpenSearch Dashboards

Сервис Amazon OpenSearch выпустил важное уведомление о проблеме безопасности. Уязвимость, обозначенная как CVE-2026-77811, представляет собой хранимую межсайтовую скриптовую атаку. Она конкретно затрагивает плагин dashboards-observability в OpenSearch Dashboards. Эта ошибка возникает из-за некорректной проверки входных данных в конечной точке статического файла интеграции.Удаленный аутентифицированный злоумышленник с правами записи в сохраненные объекты может использовать это, загрузив пользовательскую интеграцию. Эта интеграция может содержать произвольный JavaScript-код. Когда другой пользователь обращается к конечной точке статического файла, вредоносный скрипт выполняется в его браузере. Это может привести к выполнению действий от имени этого пользователя, включая несанкционированные вызовы API.Для открытых, самостоятельно управляемых OpenSearch Dashboards затронуты версии до 3.4 и 2.19.6. Версии 3.4 и 2.19.6 содержат исправление. Для сервиса Amazon OpenSearch затронуты версии до 3.3. AWS устранила эту уязвимость во всех затронутых управляемых версиях посредством обновления программного обеспечения сервиса. Пользователям рекомендуется ознакомиться с полной статьей для получения подробной информации.
CVE-2026-77811 - Stored Cross-Site Scripting via Integration Template Asset in OpenSearch Dashboards aws.amazon.com
RSS Hunter RSS Hunter • 21 авг.

CVE-2026-77810 - Проблема с коннектором Neptune для Athena Federated Query

ID бюллетеня: 2026-087-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 21.08.2026 12:30 PDT Описание: Amazon Athena — это бессерверный интерактивный сервис запросов, который позволяет анализировать данные непосредственно в Amazon S3 с использованием стандартного SQL. Athena Query Federation — это функция, позволяющая подключаться к источникам данных вне Amazon S3, таким как DynamoDB, Azure Synapse и пользовательским коннекторами с использованием стандартного SQL-синтаксиса. Эти коннекторы имеют открытый исходный код и регулярно внедряются в сервис Athena. Мы выявили CVE-2026-77810 в разъёме Neptune, где пользователь с доступом к Neptune через Athena Federated Query мог получить доступ к свойствам в Lambda, обеспечивающем вычислительные данные для разъёма. Изменённые версии: <=v2026.28.1 И >=v2024.15.1 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-77810 - Issue with Athena Federated Query Neptune Connector aws.amazon.com
RSS Hunter RSS Hunter • 21 авг.

Проблема с FreeRTOS-Kernel - CVE-2026-77234, CVE-2026-77235, CVE-2026-77236, CVE-2026-77237

AWS объявила о важных уязвимостях безопасности, затрагивающих FreeRTOS-Kernel, операционную систему реального времени. Были выявлены четыре отдельные проблемы, каждая из которых имеет специфические условия для воздействия. CVE-2026-77234 затрагивает конфигурации, использующие FreeRTOS MPU с программными таймерами, исключая те, что без MPU. CVE-2026-77235 и CVE-2026-77236 затрагивают конфигурации ARM TrustZone (ARMv8-M), но только при использовании безопасных контекстов. CVE-2026-77237 специфична для сборок, где включены наборы очередей, оставляя приложения без них незатронутыми. Затронутые версии для CVE-2026-77234 варьируются от 7.0.0 до 11.3.0 для портов с поддержкой MPU. Для портов ARMv8-M с TrustZone, версии с 10.2.0 по 11.3.0 затронуты связанными с TrustZone CVE. Уязвимость наборов очередей, CVE-2026-77237, затрагивает версии с 7.4.0 по 11.3.0 на портах с поддержкой MPU и включенными наборами очередей. AWS настоятельно рекомендует пользователям ознакомиться с предоставленной статьей для получения самой актуальной и полной информации. Этот бюллетень требует немедленного внимания для снижения потенциальных рисков безопасности.
Issue with FreeRTOS-Kernel - CVE-2026-77234, CVE-2026-77235, CVE-2026-77236, CVE-2026-77237 aws.amazon.com
RSS Hunter RSS Hunter • 21 авг.

CVE-2026-18420 - Удаленное выполнение кода через загрязнение прототипа в плагине TSVB OpenSearch Dashboards

ID бюллетеня: 2026-085-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 20.08.2026 13:30 PDT Описание: Неправильная проверка ввода в плагине Time Series Visual Builder (TSVB) в OpenSearch Dashboards до версии 3.8 позволяет удалёно аутентифицированному пользователю со стандартными правами доступа к данным выполнять произвольный код на сервере, отправляя созданную JSON-нагрузку в конечную точку API визуализации метрик. Чтобы смягчить эту проблему, пользователям следует обновиться до OpenSearch Dashboards 3.8 или новее. Затронутые продукты и версии: - OpenSearch-Dashboards (open-source, самоуправляемые): >=3.0.0, <3.8.0 - OpenSearch-Dashboards (управляемые AWS): >=3.0.0, <3.8.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-18420 - Remote Code Execution via Prototype Pollution in OpenSearch Dashboards TSVB Plugin aws.amazon.com
RSS Hunter RSS Hunter • 20 авг.

CVE-2026-75910 - Проблема с коннектором ClickHouse для Athena Federated Query

Amazon Athena, бессерверный сервис запросов, позволяет выполнять SQL-анализ данных в S3. Athena Query Federation расширяет эту возможность на внешние источники данных, такие как DynamoDB и Azure Synapse, посредством коннекторов с открытым исходным кодом. В шаблоне развертывания коннектора ClickHouse была обнаружена критическая уязвимость CVE-2026-75910. Эта уязвимость, присутствующая в версиях до v2026.17.1, связана с некорректным назначением привилегий. Аутентифицированный удаленный пользователь мог использовать ее для чтения произвольных секретов AWS Secrets Manager. Вектор атаки включает в себя манипулирование строкой подключения коннектора, чтобы указать на несвязанный секрет. Одновременно пользователь контролировал бы конечную точку базы данных. Эта манипуляция привела бы к тому, что коннектор ClickHouse передал бы целевой секрет на контролируемую пользователем конечную точку. Для устранения уязвимости требуется обновление коннектора ClickHouse до версии v2026.17.1 или более поздней. Это обеспечит правильное назначение привилегий. Дополнительная информация доступна в приложенном бюллетене безопасности AWS.
CVE-2026-75910 - Issue with Athena Federated Query Clickhouse Connector aws.amazon.com
RSS Hunter RSS Hunter • 20 авг.

CVE-2026-75935 и CVE-2026-75936 - Проблема с Amazon ion-java - Отказ в обслуживании с усилением памяти

Идентификатор бюллетеня: 2026-083-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 18.08.2026 12:30 PDTОписание:ion-java — это библиотека Java, реализующая спецификацию формата данных Amazon Ion. Мы выявили CVE-2026-75935, отказ в обслуживании с усилением памяти посредством предварительного выделения с объявленной длиной, и CVE-2026-75936, отказ в обслуживании с усилением памяти посредством расширения сильно сжатых данных.Затронутые версии: < 1.12.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-75935 and CVE-2026-75936 - Issue with Amazon ion-java - Memory-amplification denial of service aws.amazon.com
RSS Hunter RSS Hunter • 18 авг.

CVE-2026-75897 - Неконтролируемое потребление ресурсов в маршруте возможностей OpenSearch Dashboards

Сервис Amazon OpenSearch выпустил важное уведомление о наличии уязвимости безопасности. Уязвимость, идентифицированная как CVE-2026-75897, затрагивает OpenSearch Dashboards, пользовательский интерфейс OpenSearch. Эта проблема вызвана некорректной проверкой входных данных в обработчике маршрута capabilities. В частности, обработчик не ограничивает размер полезной нагрузки запроса. Удаленные злоумышленники могут использовать это, отправив специально сформированный HTTP-запрос. Такой эксплойт может привести к отказу в обслуживании, делая сервис недоступным. Для самостоятельно управляемых версий OpenSearch затронуты версии с 1.3.0 по 3.7.0 включительно, а также версии 2.x до 2.19.6. Эта уязвимость унаследована от вышестоящих версий Kibana с 7.7.1 по 7.10.2. Затронуты версии сервиса Amazon OpenSearch 1.3, 2.11, 2.13, 2.15, 2.17, 2.19, 3.1, 3.3 и 3.5, а также версии, совместимые с Elasticsearch, использующие Kibana 7.9 и 7.10. AWS выпустила исправленное программное обеспечение сервиса, которое доступно для всех затронутых версий Amazon OpenSearch Service, и пользователям рекомендуется установить последнее обновление программного обеспечения сервиса.
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 18 авг.

CVE-2026-18428 - Плагин OpenSearch SQL - Обход асинхронной проверки запросов

В расширении Flint плагина OpenSearch SQL обнаружена проблема, при которой недостаточная проверка позволяет обойти запрещенный список грамматики SQL. Эта уязвимость может быть использована пользователями с доступом к асинхронным запросам через конечную точку прямого запроса. Затронутые версии плагина с открытым исходным кодом для самостоятельного управления: от v2.13 до v3.6, а для Amazon OpenSearch Service: от v2.13 до v3.5. Обновления до версий 3.7 и 2.19.6 для плагина, а также обновление программного обеспечения сервиса для Amazon OpenSearch Service устраняют эту уязвимость.
CVE-2026-18428 - OpenSearch SQL Plugin - Async Query Validation Bypass aws.amazon.com
RSS Hunter RSS Hunter • 13 авг.

CVE-2026-18952 - Отсутствие проверки ввода в плагине OpenSearch Security Analytics

Данный бюллетень посвящен CVE-2026-18952, критической уязвимости в плагине OpenSearch Security Analytics. Проблема заключается в отсутствии проверки входных данных в парсере ленты аналитики угроз. Аутентифицированный пользователь с определенными привилегиями может использовать этот недостаток для выполнения подделки запросов на стороне сервера (SSRF). Этот SSRF позволяет ему читать локальные файлы путем манипулирования параметром URL. Уязвимость затрагивает плагины OpenSearch Security Analytics, управляемые самостоятельно, версии 2.15.0 и выше. Для Amazon OpenSearch Service затронуты домены, работающие на версиях движка 2.15.0 и выше. Однако затронутая функциональность по умолчанию не включена в управляемом сервисе AWS. Уязвимость устранена в плагине OpenSearch Security Analytics версии 3.5.0 и выше. Amazon OpenSearch Service устранил эту проблему путем обновлений программного обеспечения сервиса для версии движка 3.5. Пользователям рекомендуется ознакомиться с прилагаемой статьей для получения полной информации.
CVE-2026-18952 - Missing Input Validation in OpenSearch Security Analytics Plugin aws.amazon.com
RSS Hunter RSS Hunter • 13 авг.

CVE-2026-19642 и CVE-2026-19643 - Проблемы безопасности памяти в декодере Base64 в AWS SDK для C++

AWS выпустила важное уведомление о критических уязвимостях в AWS SDK для C++. Две конкретные CVE, CVE-2026-19642 и CVE-2026-19643, затрагивают декодер Base64 в SDK. CVE-2026-19642 описывает уязвимость записи за пределами допустимых границ. Это может привести к повреждению памяти или сбоям в работе приложения. CVE-2026-19643 описывает уязвимость чтения за пределами допустимых границ. На некоторых платформах это также может привести к сбоям в работе приложения. Влияние обеих этих уязвимостей ограничено конкретным процессом, выполняющим декодирование Base64. Все версии AWS SDK для C++ до версии 1.11.861 включительно затронуты. AWS настоятельно рекомендует пользователям оперативно устранить эти проблемы. Дополнительные сведения и самую актуальную информацию можно найти в прилагаемой статье.
CVE-2026-19642 & CVE-2026-19643 - Memory-safety issues in the Base64 decoder in the AWS SDK for C++ aws.amazon.com
RSS Hunter RSS Hunter • 12 авг.

CVE-2026-19311 - Отсутствие авторизации в плагине оповещений OpenSearch

Выпущено важное уведомление по безопасности, касающееся уязвимости авторизации в плагине OpenSearch Alerting. Эта уязвимость, CVE-2026-19311, затрагивает определенные версии как самостоятельно управляемых развертываний, так и развертываний Amazon OpenSearch Service. Аутентифицированный пользователь с определенными привилегиями мог использовать этот недостаток для манипулирования данными индекса посредством специально сформированных запросов мониторинга. Меры по устранению включают обновление до исправленных версий плагина или обновление доменов Amazon OpenSearch Service до исправленного выпуска программного обеспечения.
CVE-2026-19311- Missing Authorization in OpenSearch Alerting Plugin aws.amazon.com
RSS Hunter RSS Hunter • 12 авг.

CVE-2026-19111 - Небезопасная прямая ссылка на объект в инструментах памяти Strands Agents Tools

Выявлена критическая уязвимость CVE-2026-19111 в Strands Agents SDK, затрагивающая пакет strands-agents-tools. Уязвимость проявляется в версиях до 0.8.3. Проблема заключается в некорректном использовании параметра пространства имен, контролируемого пользователем, для изоляции клиентов в инструментах mongodb_memory, elasticsearch_memory и mem0_memory. Злоумышленник может создать запрос для манипулирования этим пространством имен. Такая манипуляция позволяет получить несанкционированный доступ к сохраненным воспоминаниям агентов других клиентов. Злоумышленники могут читать, изменять или удалять воспоминания, принадлежащие другим пользователям. Они также могут внедрять ложные воспоминания в пространство имен другого клиента. Кроме того, автономные функции mongodb_memory и elasticsearch_memory раскрывают параметры подключения. Это может позволить перенаправить слой памяти на кластер, контролируемый злоумышленником. Пользователям настоятельно рекомендуется обновиться до версии strands-agents-tools 0.8.3 или выше.
CVE-2026-19111 - Insecure direct object reference in Strands Agents Tools memory tools aws.amazon.com
RSS Hunter RSS Hunter • 6 авг.

CVE-2026-18954 - Некорректная авторизация в инструменте конвейера агрегации в Amazon AWS Labs DocumentDB MCP Server

Идентификатор бюллетеня: 2026-076-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 08.05.2026 13:00 PDTОписание:Amazon DocumentDB MCP Server — это сервер протокола контекста модели (MCP) с открытым исходным кодом, который позволяет ИИ-ассистентам взаимодействовать с базами данных Amazon DocumentDB. Мы выявили CVE-2026-18954, проблему некорректной авторизации, при которой этапы конвейера агрегации с возможностью записи ($out, $merge) обходят логику принудительного применения режима только для чтения, что потенциально позволяет аутентифицированному клиенту MCP выполнять операции записи в подключенной базе данных.Затронутые версии: < 1.0.12Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18954 - Incorrect authorization in the aggregation pipeline tool in Amazon AWS Labs DocumentDB MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 5 авг.

CVE-2026-18953 - Ненадлежащее ограничение пути в AWS Transform MCP Server

ID бюллетеня: 2026-075-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 08/05/2026 12:30 PDT Описание: AWS Transform MCP Server (awslabs.aws-transform-mcp-server) — это сервер с открытым исходным кодом Model Context Protocol (MCP), который работает локально на машине разработчика и позволяет ассистентам на базе ИИ взаимодействовать с AWS Transform для выполнения заданий на трансформацию кода и извлечения их артефактов. Мы выявили CVE-2026-18953. Неправильное ограничение имени пути ограниченным каталогом в инструменте get_resource в awslabs.aws-transform-mcp-server до версии 0.1.5 могло позволить контекстно-зависящему актору записывать произвольные файлы вне предполагаемой рабочей папки через параметр savePath, что могло привести к локальному выполнению кода. Изменённые версии: >=0.1.0 И <=0.1.4 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-18953 - Improper limitation of a pathname in AWS Transform MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 5 авг.