TheNote
AWS Latest Bulletins на русско... Заметка
GooglePlay AppStore

AWS Latest Bulletins на русском

Указанная веб-страница AWS посвящена бюллетеням безопасности. Это один из надежных источников распространения информации о последних уведомлениях и обновлениях системы безопасности. Бюллетени в основном охватывают рекомендации по безопасности, внеполосные исправления и другие обновления безопасности продуктов. Эти бюллетени позволяют пользователям быть в курсе последних событий в области безопасности, обеспечивая безопасность и соответствие их инфраструктуры нормативным требованиям.
Latest Bulletins aws.amazon.com
RSS aws.amazon.com
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

CVE-2026-85788 - Проблема с awslabs mysql-mcp-server

Идентификатор бюллетеня: 2026-103-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 09.09.2026 09:30 PDTОписание:Мы выявили проблему в awslabs.mysql-mcp-server (открытый, самостоятельно размещаемый сервер протокола контекста модели, распространяемый через github.com/awslabs/mcp и PyPI). В затронутых версиях, при определенных условиях, принудительное применение режима только для чтения могло быть обойдено с помощью встроенных SQL-комментариев, что позволяло выполнить оператор, который проверка режима только для чтения должна была заблокировать. Режим только для чтения, предоставляемый сервером, является лучшей попыткой защиты и не заменяет правильно настроенные разрешения базы данных; эффективной границей являются разрешения настроенного пользователя MySQL.Эта проблема не затрагивает конфиденциальность или целостность каких-либо сервисов AWS. awslabs.mysql-mcp-server — это клиентский, самостоятельно управляемый пакет; клиенты контролируют установку и привилегии настраиваемых учетных данных базы данных.Затронутые версии: awslabs.mysql-mcp-server <= 1.0.21Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85788 - Issue with awslabs mysql-mcp-server aws.amazon.com
RSS Hunter RSS Hunter • Сегодня

CVE-2026-84942 - Сохраненный межсайтовый скриптинг через обход функции выражения Vega в OpenSearch Dashboards

В OpenSearch Dashboards выявлена критическая уязвимость межсайтового скриптинга с возможностью хранения. Эта проблема находится в реализации функции выражения Vega. Удаленный аутентифицированный злоумышленник с правами на запись в дашборды может использовать этот недостаток. Сохранив вредоносную визуализацию Vega, злоумышленник может внедрить и выполнить произвольный JavaScript. Этот скрипт затем будет выполняться в контексте браузера других пользователей, просматривающих дашборд. Уязвимость затрагивает множество версий самостоятельно управляемых OpenSearch Dashboards, в частности, от v2.0.0 до v3.5.0. Для самостоятельно управляемых экземпляров были выпущены версии v2.19.5 и v3.6.0 для устранения этой уязвимости. Amazon OpenSearch Service, управляемое предложение AWS, также затронуто в различных версиях. Затронутые управляемые версии варьируются от v2.3.0 до v3.5.0. Важно отметить, что Amazon OpenSearch Serverless не подвержен этой конкретной угрозе. Пользователям настоятельно рекомендуется ознакомиться с предоставленной статьей для получения полной информации.
CVE-2026-84942 - Stored Cross-Site Scripting via Vega Expression Function Bypass in OpenSearch Dashboards aws.amazon.com
RSS Hunter RSS Hunter • Вчера

CVE-2026-85787 - Неполный список недопустимых входных данных в компоненте проверки SQL в Amazon awslabs postgres-mcp-server для изменения данных за пределами области только для чтения

Идентификатор бюллетеня: 2026-101-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 04.09.2026 13:00 PDTОписание:Мы выявили CVE-2026-85787, неполный список недопустимых входных данных в компоненте проверки SQL в Amazon awslabs postgres-mcp-server до версии 1.1.7, который может позволить неаутентифицированному субъекту изменять данные за пределами области только для чтения, помещая специально сформированный SQL в контент, который отправляется при взаимодействии аутентифицированного пользователя с сервером MCP.Затронутые версии: любая версия пакета pypi < 1.1.7Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85787 - An incomplete list of disallowed inputs in the SQL validation component in Amazon awslabs postgres-mcp-server to modify data beyond the read-only scope aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85654 - Внедрение кода в генератор CDK в Amazon awslabs.dynamodb-mcp-server

ID бюллетеня: 2026-097-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 09/04/2026 10:00 AM PDT Описание: Amazon awslabs.dynamodb-mcp-server — это сервер с открытым исходным кодом Model Context Protocol (MCP), который позволяет AI-ассистентам по программированию взаимодействовать с Amazon DynamoDB, включая проектирование таблиц, моделирование данных и генерацию инфраструктуры CDK. Мы выявили CVE-2026-85654 — неправильную нейтрализацию специальных элементов, используемых в шаблонном движке компонента генератора CDK. В определённых условиях контекстно-зависимый актор может выполнять произвольный код на хосте, который разгортает сгенерированное приложение через созданные имена таблиц, индексов или атрибутов в файле модели данных. Изменённые версии: >= 2.0.10 И <= 2.1.5 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-85654 - Code injection in the CDK generator in Amazon awslabs.dynamodb-mcp-server aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85786 - Неполное исправление для CVE-2026-75936, отказ в обслуживании с усилением памяти в Amazon ion-java

Идентификатор бюллетеня: 2026-100-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 04.09.2026 12:30 PDTОписание:ion-java — это библиотека Java, реализующая спецификацию формата данных Amazon Ion. Мы выявили CVE-2026-85786, отказ в обслуживании с усилением памяти через расширение сильно сжатых данных. ion-java 1.12.0 добавила автоматическое отключение GZIP-декомпрессии для CVE-2026-75936, но реализация отключения в 1.12.0 оказалась недостаточной для решения проблемы.Затронутые версии: < 1.12.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85786 - Incomplete fix for CVE-2026-75936 memory-amplification denial of service in Amazon ion-java aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85781 - Непроверенное владение точкой доступа в Amazon EFS CSI Driver

Идентификатор бюллетеня: 2026-099-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 04.09.2026 11:45 PDTОписание:Amazon EFS CSI Driver — это драйвер Kubernetes Container Storage Interface (CSI) с открытым исходным кодом, который позволяет рабочим нагрузкам Kubernetes использовать файловые системы Amazon EFS. Мы выявили CVE-2026-85781, проблему в логике удаления томов драйвера. Когда контроллер настроен с нестандартной опцией --delete-access-point-root-dir=true, он не проверял, что точка доступа EFS, на которую ссылается дескриптор тома PersistentVolume, принадлежит файловой системе, на которую ссылается тот же дескриптор тома. Аутентифицированный пользователь Kubernetes с разрешением на создание PersistentVolumes мог использовать специально созданный дескриптор тома, чтобы заставить контроллер рекурсивно удалять каталоги из файловой системы Amazon EFS, которые пользователь в противном случае не имел права изменять. Эта проблема не затрагивает сам Amazon EFS; элементы управления доступом Amazon EFS работали как задумано.Затронутые версии: <=3.4.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85781 - Unverified access point ownership in Amazon EFS CSI Driver aws.amazon.com
RSS Hunter RSS Hunter • 4 сент.

CVE-2026-85028: Создание временного файла в каталоге с небезопасными правами доступа в AWS FPGA Development Kit

Идентификатор бюллетеня: 2026-096-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 03.09.2026 11:00 PDTОписание:AWS FPGA Developer Kit — это комплект для разработки аппаратного и программного обеспечения, который позволяет разработчикам создавать ускорители для высокопроизводительных карт ускорителей на экземплярах EC2 F2. Мы выявили CVE-2026-85028, при котором создание временного файла в каталоге с небезопасными разрешениями в компоненте установки инструмента управления FPGA в AWS FPGA Development Kit (aws-fpga) до версии 2.3.4 может позволить локальным пользователям выполнять произвольный код с правами root через специально созданное содержимое оболочки, помещенное по предсказуемому пути во временный каталог, доступный для записи всем, который шаг установки считывает после повышения собственных привилегий.Затронутые версии: < 2.3.4Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85028: Creation of Temporary File in Directory with Insecure Permissions in AWS FPGA Development Kit aws.amazon.com
RSS Hunter RSS Hunter • 3 сент.

CVE-2026-85012 - Внедрение команд ОС в SDK Amazon CodeCatalyst blueprints

Идентификатор бюллетеня: 2026-095-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 03.09.2026 10:00 AM PDTОписание:Шаблоны Amazon CodeCatalyst — это повторно используемые шаблоны проектов, которые генерируют программный проект. Пакет npm @amazon-codecatalyst/blueprints.blueprint — это фреймворк с открытым исходным кодом, на котором строят авторы шаблонов, публикуемый с github.com/aws/codecatalyst-blueprints.Мы выявили CVE-2026-85012 в фреймворке ресинтеза шаблонов. Во время ресинтеза фреймворк считывает файл .ownership-file из существующего проекта, чтобы определить, какие файлы может изменять шаблон. В версиях до 0.3.156 поле owner записи стратегии слияния [local] в файле .ownership-file передавалось в команду операционной системы через оболочку без проверки. Пользователь, имеющий разрешение на коммит в репозиторий проекта, мог поместить метасимволы оболочки в это поле и выполнить произвольные команды в среде, выполняющей ресинтез, с привилегиями и учетными данными, доступными этой среде.Для использования сервиса Amazon CodeCatalyst никаких действий не требуется. Ресинтез выполняется в изолированной среде для каждого проекта с ограниченными учетными данными, и сервис применяет серверную проверку, которая отклоняет команды стратегии слияния [local], выходящие за рамки ограниченного списка разрешенных форм, в том числе для версий шаблонов, опубликованных до 0.3.156.Затронутые версии: <= 0.3.155Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-85012 - OS command injection in the Amazon CodeCatalyst blueprints SDK aws.amazon.com
RSS Hunter RSS Hunter • 3 сент.

CVE-2026-84851 - Неконтролируемая рекурсия в средстве чтения Ion в Amazon Ion-C до версии 1.1.6

Идентификатор бюллетеня: 2026-094-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 02.09.2026 13:30 по тихоокеанскому времениОписание:Amazon Ion-C (ion-c) — это реализация формата сериализации данных Amazon Ion на языке C. Она распространяется как библиотека с открытым исходным кодом (amazon-ion/ion-c), которую приложения встраивают для чтения и записи текстовых и двоичных данных Ion. Мы выявили CVE-2026-84851, проблему неконтролируемой рекурсии в версиях до 1.1.6, которая может позволить удаленному неаутентифицированному злоумышленнику создать данные Ion, исчерпывающие стек вызовов и вызывающие сбой приложения, использующего библиотеку, что приведет к отказу в обслуживании.Затронутые версии: < 1.1.6Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-84851- Uncontrolled recursion in the Ion reader in Amazon Ion-C before 1.1.6 aws.amazon.com
RSS Hunter RSS Hunter • 2 сент.

CVE-2026-83551 - Хранение ключа подписи HMAC в открытом тексте в Amazon SageMaker Python SDK

Идентификатор бюллетеня: 2026-093-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 01.09.2026 11:00 PDTОписание:Компонент конвейера декоратора @step и @remote в SageMaker Python SDK использует ключ HMAC для защиты целостности сериализованных полезных данных функций, хранящихся в S3. Мы выявили проблему, при которой секретный ключ HMAC хранится в открытом тексте в определениях конвейера и доступен через API DescribePipeline.Это позволяет злоумышленнику с ролью в этой учетной записи, имеющей разрешения на вызов DescribePipeline, извлечь ключ, создать полезные данные с облачной сериализацией и действительными HMAC, а также перезаписать объекты S3, добившись выполнения кода в контексте выполнения конвейера другого пользователя в той же учетной записи AWS.Затронутые версии: - Конфигурация HMAC в SageMaker Python SDK v3 < v3.11.0 - Конфигурация HMAC в SageMaker Python SDK v2 < v2.256.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 1 сент.

CVE-2026-83497 - Плагин OpenSearch SQL - Неограниченная десериализация Java в пагинации курсора

Выпущено важное уведомление безопасности для OpenSearch, касающееся конкретно CVE-2026-83497. Эта уязвимость позволяет удаленному аутентифицированному пользователю с минимальными правами выполнять произвольный код, используя конечную точку plugins/sql с вредоносным параметром cursor. Проблема затрагивает версии 2.8–3.6 плагина OpenSearch SQL, управляемого самостоятельно, исправления доступны в версиях 3.7 и 2.19.6. Версии Amazon OpenSearch Service 2.9–3.5 также затронуты, но были исправлены посредством обновлений программного обеспечения сервиса.
CVE-2026-83497 - OpenSearch SQL Plugin - Unrestricted Java Deserialization in Cursor Pagination aws.amazon.com
RSS Hunter RSS Hunter • 31 авг.

CVE-2026-81849 - Обход каталога в плагине aws:downloadContent в amazon-ssm-agent

Идентификатор бюллетеня: 2026-091-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 28.08.2026 11:00 PDTОписание:AWS Systems Manager Agent (amazon-ssm-agent) — это программное обеспечение Amazon, которое работает на экземплярах Amazon Elastic Compute Cloud (Amazon EC2), граничных устройствах, локальных серверах и виртуальных машинах (ВМ). amazon-ssm-agent позволяет Systems Manager обновлять, управлять и настраивать эти ресурсы. Мы выявили CVE-2026-81849, при котором некорректное ограничение пути к файлу в ограниченном каталоге в плагине aws:downloadContent в amazon-ssm-agent до версии 3.3.4515.0 может позволить аутентифицированному удаленному пользователю, чье разрешение ssm:SendCommand ограничено документом AWS-DownloadContent, записывать произвольные файлы за пределами предполагаемого каталога загрузки с правами root через специально созданные ключи объектов в источнике S3, из которого документ направлен на извлечение. Эта проблема может привести к выполнению произвольного кода от имени root, если будут перезаписаны определенные конфиденциальные файлы.Для устранения этой проблемы клиентам следует обновить amazon-ssm-agent до версии 3.3.4515.0 или более поздней.Затронутые версии: Amazon amazon-ssm-agent от 2.0.767.0 до 3.3.4364.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, касающейся этого бюллетеня безопасности AWS.
CVE-2026-81849 - Path traversal in the aws:downloadContent plugin in amazon-ssm-agent aws.amazon.com
RSS Hunter RSS Hunter • 28 авг.

CVE-2026-81838 - Zip Slip обход пути в awsdac (diagram-as-code)

AWS выявила критическую уязвимость, CVE-2026-81838, в своем инструменте командной строки diagram-as-code awsdac. Этот инструмент генерирует диаграммы архитектуры AWS из YAML-определений. Уязвимость представляет собой ошибку Zip Slip или обход пути, затрагивающую извлечение zip-архивов. Злонамеренно созданный zip-файл может привести к тому, что awsdac запишет файлы в произвольные места в системе. Это потенциально может привести к произвольному выполнению кода на машине, на которой работает awsdac. Уязвимость может быть использована при обработке файлов определений из недоверенных источников. Это включает запуск awsdac без надлежащих ограничений доверия или загрузку локальных файлов, которые обходят списки разрешенных URL-адресов. CI/CD конвейеры, обрабатывающие недоверенные файлы определений, особенно подвержены риску. Проблема ограничена локальной машиной, на которой работает awsdac. Она не затрагивает какие-либо сервисы AWS, учетные записи или данные клиентов. Уязвимостью затронуты версии awsdac с 0.10 по 0.23.
CVE-2026-81838 - Zip Slip path traversal in awsdac (diagram-as-code) aws.amazon.com
RSS Hunter RSS Hunter • 28 авг.

CVE-2026-78379 - Обход согласия в инструменте python_repl библиотеки Strands Agents Tools

Выпущено бюллетень безопасности AWS, касающийся Strands Agents, открытого SDK на Python для ИИ-агентов. В бюллетене освещается критическая уязвимость CVE-2026-78379 в пакете strands-agents-tools. В частности, затронут инструмент python_repl, предназначенный для выполнения кода Python на хосте агента после одобрения оператором. Была выявлена некорректная нейтрализация входных данных, используемых для подсказок LLM. Эта ошибка позволяет удаленным злоумышленникам обойти механизм согласия человека. Они могут добиться этого, отправив специально сформированную подсказку через инструмент batch. Инструмент batch может вызывать несколько других инструментов одним вызовом. Специально сформированная подсказка передает non_interactive_mode в качестве именованного аргумента. Этот обход позволяет выполнять произвольный код Python на хосте агента. Затронуты версии Strands Agents Tools до 0.8.5. Пользователям рекомендуется обновиться до версии, устраняющей эту уязвимость.
CVE-2026-78379 - Consent bypass in Strands Agents Tools python_repl tool aws.amazon.com
RSS Hunter RSS Hunter • 25 авг.

CVE-2026-77811 - Сохраненный межсайтовый скриптинг через шаблон интеграции в OpenSearch Dashboards

Сервис Amazon OpenSearch выпустил важное уведомление о проблеме безопасности. Уязвимость, обозначенная как CVE-2026-77811, представляет собой хранимую межсайтовую скриптовую атаку. Она конкретно затрагивает плагин dashboards-observability в OpenSearch Dashboards. Эта ошибка возникает из-за некорректной проверки входных данных в конечной точке статического файла интеграции.Удаленный аутентифицированный злоумышленник с правами записи в сохраненные объекты может использовать это, загрузив пользовательскую интеграцию. Эта интеграция может содержать произвольный JavaScript-код. Когда другой пользователь обращается к конечной точке статического файла, вредоносный скрипт выполняется в его браузере. Это может привести к выполнению действий от имени этого пользователя, включая несанкционированные вызовы API.Для открытых, самостоятельно управляемых OpenSearch Dashboards затронуты версии до 3.4 и 2.19.6. Версии 3.4 и 2.19.6 содержат исправление. Для сервиса Amazon OpenSearch затронуты версии до 3.3. AWS устранила эту уязвимость во всех затронутых управляемых версиях посредством обновления программного обеспечения сервиса. Пользователям рекомендуется ознакомиться с полной статьей для получения подробной информации.
CVE-2026-77811 - Stored Cross-Site Scripting via Integration Template Asset in OpenSearch Dashboards aws.amazon.com
RSS Hunter RSS Hunter • 21 авг.

CVE-2026-77810 - Проблема с коннектором Neptune для Athena Federated Query

ID бюллетеня: 2026-087-AWS Область применения: AWS Тип содержания: Важен (требует внимания) Дата публикации: 21.08.2026 12:30 PDT Описание: Amazon Athena — это бессерверный интерактивный сервис запросов, который позволяет анализировать данные непосредственно в Amazon S3 с использованием стандартного SQL. Athena Query Federation — это функция, позволяющая подключаться к источникам данных вне Amazon S3, таким как DynamoDB, Azure Synapse и пользовательским коннекторами с использованием стандартного SQL-синтаксиса. Эти коннекторы имеют открытый исходный код и регулярно внедряются в сервис Athena. Мы выявили CVE-2026-77810 в разъёме Neptune, где пользователь с доступом к Neptune через Athena Federated Query мог получить доступ к свойствам в Lambda, обеспечивающем вычислительные данные для разъёма. Изменённые версии: <=v2026.28.1 И >=v2024.15.1 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-77810 - Issue with Athena Federated Query Neptune Connector aws.amazon.com
RSS Hunter RSS Hunter • 21 авг.

Проблема с FreeRTOS-Kernel - CVE-2026-77234, CVE-2026-77235, CVE-2026-77236, CVE-2026-77237

AWS объявила о важных уязвимостях безопасности, затрагивающих FreeRTOS-Kernel, операционную систему реального времени. Были выявлены четыре отдельные проблемы, каждая из которых имеет специфические условия для воздействия. CVE-2026-77234 затрагивает конфигурации, использующие FreeRTOS MPU с программными таймерами, исключая те, что без MPU. CVE-2026-77235 и CVE-2026-77236 затрагивают конфигурации ARM TrustZone (ARMv8-M), но только при использовании безопасных контекстов. CVE-2026-77237 специфична для сборок, где включены наборы очередей, оставляя приложения без них незатронутыми. Затронутые версии для CVE-2026-77234 варьируются от 7.0.0 до 11.3.0 для портов с поддержкой MPU. Для портов ARMv8-M с TrustZone, версии с 10.2.0 по 11.3.0 затронуты связанными с TrustZone CVE. Уязвимость наборов очередей, CVE-2026-77237, затрагивает версии с 7.4.0 по 11.3.0 на портах с поддержкой MPU и включенными наборами очередей. AWS настоятельно рекомендует пользователям ознакомиться с предоставленной статьей для получения самой актуальной и полной информации. Этот бюллетень требует немедленного внимания для снижения потенциальных рисков безопасности.
Issue with FreeRTOS-Kernel - CVE-2026-77234, CVE-2026-77235, CVE-2026-77236, CVE-2026-77237 aws.amazon.com
RSS Hunter RSS Hunter • 21 авг.

CVE-2026-18420 - Удаленное выполнение кода через загрязнение прототипа в плагине TSVB OpenSearch Dashboards

ID бюллетеня: 2026-085-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 20.08.2026 13:30 PDT Описание: Неправильная проверка ввода в плагине Time Series Visual Builder (TSVB) в OpenSearch Dashboards до версии 3.8 позволяет удалёно аутентифицированному пользователю со стандартными правами доступа к данным выполнять произвольный код на сервере, отправляя созданную JSON-нагрузку в конечную точку API визуализации метрик. Чтобы смягчить эту проблему, пользователям следует обновиться до OpenSearch Dashboards 3.8 или новее. Затронутые продукты и версии: - OpenSearch-Dashboards (open-source, самоуправляемые): >=3.0.0, <3.8.0 - OpenSearch-Dashboards (управляемые AWS): >=3.0.0, <3.8.0 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-18420 - Remote Code Execution via Prototype Pollution in OpenSearch Dashboards TSVB Plugin aws.amazon.com
RSS Hunter RSS Hunter • 20 авг.

CVE-2026-75910 - Проблема с коннектором ClickHouse для Athena Federated Query

Amazon Athena, бессерверный сервис запросов, позволяет выполнять SQL-анализ данных в S3. Athena Query Federation расширяет эту возможность на внешние источники данных, такие как DynamoDB и Azure Synapse, посредством коннекторов с открытым исходным кодом. В шаблоне развертывания коннектора ClickHouse была обнаружена критическая уязвимость CVE-2026-75910. Эта уязвимость, присутствующая в версиях до v2026.17.1, связана с некорректным назначением привилегий. Аутентифицированный удаленный пользователь мог использовать ее для чтения произвольных секретов AWS Secrets Manager. Вектор атаки включает в себя манипулирование строкой подключения коннектора, чтобы указать на несвязанный секрет. Одновременно пользователь контролировал бы конечную точку базы данных. Эта манипуляция привела бы к тому, что коннектор ClickHouse передал бы целевой секрет на контролируемую пользователем конечную точку. Для устранения уязвимости требуется обновление коннектора ClickHouse до версии v2026.17.1 или более поздней. Это обеспечит правильное назначение привилегий. Дополнительная информация доступна в приложенном бюллетене безопасности AWS.
CVE-2026-75910 - Issue with Athena Federated Query Clickhouse Connector aws.amazon.com
RSS Hunter RSS Hunter • 20 авг.

CVE-2026-75935 и CVE-2026-75936 - Проблема с Amazon ion-java - Отказ в обслуживании с усилением памяти

Идентификатор бюллетеня: 2026-083-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 18.08.2026 12:30 PDTОписание:ion-java — это библиотека Java, реализующая спецификацию формата данных Amazon Ion. Мы выявили CVE-2026-75935, отказ в обслуживании с усилением памяти посредством предварительного выделения с объявленной длиной, и CVE-2026-75936, отказ в обслуживании с усилением памяти посредством расширения сильно сжатых данных.Затронутые версии: < 1.12.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-75935 and CVE-2026-75936 - Issue with Amazon ion-java - Memory-amplification denial of service aws.amazon.com
RSS Hunter RSS Hunter • 18 авг.

CVE-2026-75897 - Неконтролируемое потребление ресурсов в маршруте возможностей OpenSearch Dashboards

Сервис Amazon OpenSearch выпустил важное уведомление о наличии уязвимости безопасности. Уязвимость, идентифицированная как CVE-2026-75897, затрагивает OpenSearch Dashboards, пользовательский интерфейс OpenSearch. Эта проблема вызвана некорректной проверкой входных данных в обработчике маршрута capabilities. В частности, обработчик не ограничивает размер полезной нагрузки запроса. Удаленные злоумышленники могут использовать это, отправив специально сформированный HTTP-запрос. Такой эксплойт может привести к отказу в обслуживании, делая сервис недоступным. Для самостоятельно управляемых версий OpenSearch затронуты версии с 1.3.0 по 3.7.0 включительно, а также версии 2.x до 2.19.6. Эта уязвимость унаследована от вышестоящих версий Kibana с 7.7.1 по 7.10.2. Затронуты версии сервиса Amazon OpenSearch 1.3, 2.11, 2.13, 2.15, 2.17, 2.19, 3.1, 3.3 и 3.5, а также версии, совместимые с Elasticsearch, использующие Kibana 7.9 и 7.10. AWS выпустила исправленное программное обеспечение сервиса, которое доступно для всех затронутых версий Amazon OpenSearch Service, и пользователям рекомендуется установить последнее обновление программного обеспечения сервиса.
AWS Latest Bulletins на русском RSS thenote.app
RSS Hunter RSS Hunter • 18 авг.

CVE-2026-18428 - Плагин OpenSearch SQL - Обход асинхронной проверки запросов

В расширении Flint плагина OpenSearch SQL обнаружена проблема, при которой недостаточная проверка позволяет обойти запрещенный список грамматики SQL. Эта уязвимость может быть использована пользователями с доступом к асинхронным запросам через конечную точку прямого запроса. Затронутые версии плагина с открытым исходным кодом для самостоятельного управления: от v2.13 до v3.6, а для Amazon OpenSearch Service: от v2.13 до v3.5. Обновления до версий 3.7 и 2.19.6 для плагина, а также обновление программного обеспечения сервиса для Amazon OpenSearch Service устраняют эту уязвимость.
CVE-2026-18428 - OpenSearch SQL Plugin - Async Query Validation Bypass aws.amazon.com
RSS Hunter RSS Hunter • 13 авг.

CVE-2026-18952 - Отсутствие проверки ввода в плагине OpenSearch Security Analytics

Данный бюллетень посвящен CVE-2026-18952, критической уязвимости в плагине OpenSearch Security Analytics. Проблема заключается в отсутствии проверки входных данных в парсере ленты аналитики угроз. Аутентифицированный пользователь с определенными привилегиями может использовать этот недостаток для выполнения подделки запросов на стороне сервера (SSRF). Этот SSRF позволяет ему читать локальные файлы путем манипулирования параметром URL. Уязвимость затрагивает плагины OpenSearch Security Analytics, управляемые самостоятельно, версии 2.15.0 и выше. Для Amazon OpenSearch Service затронуты домены, работающие на версиях движка 2.15.0 и выше. Однако затронутая функциональность по умолчанию не включена в управляемом сервисе AWS. Уязвимость устранена в плагине OpenSearch Security Analytics версии 3.5.0 и выше. Amazon OpenSearch Service устранил эту проблему путем обновлений программного обеспечения сервиса для версии движка 3.5. Пользователям рекомендуется ознакомиться с прилагаемой статьей для получения полной информации.
CVE-2026-18952 - Missing Input Validation in OpenSearch Security Analytics Plugin aws.amazon.com
RSS Hunter RSS Hunter • 13 авг.

CVE-2026-19642 и CVE-2026-19643 - Проблемы безопасности памяти в декодере Base64 в AWS SDK для C++

AWS выпустила важное уведомление о критических уязвимостях в AWS SDK для C++. Две конкретные CVE, CVE-2026-19642 и CVE-2026-19643, затрагивают декодер Base64 в SDK. CVE-2026-19642 описывает уязвимость записи за пределами допустимых границ. Это может привести к повреждению памяти или сбоям в работе приложения. CVE-2026-19643 описывает уязвимость чтения за пределами допустимых границ. На некоторых платформах это также может привести к сбоям в работе приложения. Влияние обеих этих уязвимостей ограничено конкретным процессом, выполняющим декодирование Base64. Все версии AWS SDK для C++ до версии 1.11.861 включительно затронуты. AWS настоятельно рекомендует пользователям оперативно устранить эти проблемы. Дополнительные сведения и самую актуальную информацию можно найти в прилагаемой статье.
CVE-2026-19642 & CVE-2026-19643 - Memory-safety issues in the Base64 decoder in the AWS SDK for C++ aws.amazon.com
RSS Hunter RSS Hunter • 12 авг.

CVE-2026-19311 - Отсутствие авторизации в плагине оповещений OpenSearch

Выпущено важное уведомление по безопасности, касающееся уязвимости авторизации в плагине OpenSearch Alerting. Эта уязвимость, CVE-2026-19311, затрагивает определенные версии как самостоятельно управляемых развертываний, так и развертываний Amazon OpenSearch Service. Аутентифицированный пользователь с определенными привилегиями мог использовать этот недостаток для манипулирования данными индекса посредством специально сформированных запросов мониторинга. Меры по устранению включают обновление до исправленных версий плагина или обновление доменов Amazon OpenSearch Service до исправленного выпуска программного обеспечения.
CVE-2026-19311- Missing Authorization in OpenSearch Alerting Plugin aws.amazon.com
RSS Hunter RSS Hunter • 12 авг.

CVE-2026-19111 - Небезопасная прямая ссылка на объект в инструментах памяти Strands Agents Tools

Выявлена критическая уязвимость CVE-2026-19111 в Strands Agents SDK, затрагивающая пакет strands-agents-tools. Уязвимость проявляется в версиях до 0.8.3. Проблема заключается в некорректном использовании параметра пространства имен, контролируемого пользователем, для изоляции клиентов в инструментах mongodb_memory, elasticsearch_memory и mem0_memory. Злоумышленник может создать запрос для манипулирования этим пространством имен. Такая манипуляция позволяет получить несанкционированный доступ к сохраненным воспоминаниям агентов других клиентов. Злоумышленники могут читать, изменять или удалять воспоминания, принадлежащие другим пользователям. Они также могут внедрять ложные воспоминания в пространство имен другого клиента. Кроме того, автономные функции mongodb_memory и elasticsearch_memory раскрывают параметры подключения. Это может позволить перенаправить слой памяти на кластер, контролируемый злоумышленником. Пользователям настоятельно рекомендуется обновиться до версии strands-agents-tools 0.8.3 или выше.
CVE-2026-19111 - Insecure direct object reference in Strands Agents Tools memory tools aws.amazon.com
RSS Hunter RSS Hunter • 6 авг.

CVE-2026-18954 - Некорректная авторизация в инструменте конвейера агрегации в Amazon AWS Labs DocumentDB MCP Server

Идентификатор бюллетеня: 2026-076-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 08.05.2026 13:00 PDTОписание:Amazon DocumentDB MCP Server — это сервер протокола контекста модели (MCP) с открытым исходным кодом, который позволяет ИИ-ассистентам взаимодействовать с базами данных Amazon DocumentDB. Мы выявили CVE-2026-18954, проблему некорректной авторизации, при которой этапы конвейера агрегации с возможностью записи ($out, $merge) обходят логику принудительного применения режима только для чтения, что потенциально позволяет аутентифицированному клиенту MCP выполнять операции записи в подключенной базе данных.Затронутые версии: < 1.0.12Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18954 - Incorrect authorization in the aggregation pipeline tool in Amazon AWS Labs DocumentDB MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 5 авг.

CVE-2026-18953 - Ненадлежащее ограничение пути в AWS Transform MCP Server

ID бюллетеня: 2026-075-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 08/05/2026 12:30 PDT Описание: AWS Transform MCP Server (awslabs.aws-transform-mcp-server) — это сервер с открытым исходным кодом Model Context Protocol (MCP), который работает локально на машине разработчика и позволяет ассистентам на базе ИИ взаимодействовать с AWS Transform для выполнения заданий на трансформацию кода и извлечения их артефактов. Мы выявили CVE-2026-18953. Неправильное ограничение имени пути ограниченным каталогом в инструменте get_resource в awslabs.aws-transform-mcp-server до версии 0.1.5 могло позволить контекстно-зависящему актору записывать произвольные файлы вне предполагаемой рабочей папки через параметр savePath, что могло привести к локальному выполнению кода. Изменённые версии: >=0.1.0 И <=0.1.4 Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-18953 - Improper limitation of a pathname in AWS Transform MCP Server aws.amazon.com
RSS Hunter RSS Hunter • 5 авг.

CVE-2026-18656 и CVE-2026-18657 - Проблема с Kiro IDE и CLI - Разрешение исполняемых файлов из недоверенного каталога проекта в Windows

Идентификатор бюллетеня: 2026-074-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 08.04.2026 12:30 PDTОписание:Kiro — это агентная IDE и интерфейс командной строки, которые пользователи устанавливают на свой рабочий стол. Мы выявили CVE-2026-18656 и CVE-2026-18657 — проблему, при которой неконтролируемый элемент пути поиска в Windows может позволить злоумышленнику выполнить произвольный код через специально созданный каталог проекта, содержащий внедренный исполняемый файл, который разрешается раньше системного PATH при открытии каталога локальным пользователем.Затронутые версии: - Kiro IDE для Windows версий от 1.0.0 до 1.0.212 - Kiro CLI для Windows до v2.10.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18656 & CVE-2026-18657 - Issue with Kiro IDE and CLI - Executable Resolution from Untrusted Project Directory on Windows aws.amazon.com
RSS Hunter RSS Hunter • 4 авг.

CVE-2026-18830 - Проблема с Amazon Bedrock AgentCore harness – Недостаточная проверка входных данных

Идентификатор бюллетеня: 2026-073-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 04.08.2026 10:00 PDTОписание:Мы выявили CVE-2026-18830 в API InvokeHarness Amazon Bedrock AgentCore. Эта проблема может позволить аутентифицированному пользователю выполнять настроенные инструменты, обходя вызов модели и связанные с ним средства контроля безопасности. Когда последнее сообщение в запросе InvokeHarness содержало блок контента, использующий инструмент, цикл событий агента мог напрямую вызывать именованный инструмент без посредничества модели.Обратите внимание, что потенциальное воздействие было ограничено инструментами, настроенными для данного harness. Harness без настроенных инструментов не мог выполнить ни один инструмент, а harness с ограниченным набором инструментов был ограничен этим набором.Затронутые версии:API InvokeHarness Amazon Bedrock AgentCore до 31 июля 2026 года.Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18830 - Issue with Amazon Bedrock AgentCore harness – Insufficient Input Validation aws.amazon.com
RSS Hunter RSS Hunter • 4 авг.

CVE-2026-18733 - Внедрение подсказки обходит ворота согласия на использование инструментов оболочки в Strands Agents Tools

Strands Agents — это SDK с открытым исходным кодом для создания ИИ-агентов. Пакет strands-agents-tools предлагает готовые инструменты, включая инструмент оболочки для выполнения команд ОС. Этот инструмент оболочки имел механизм подтверждения пользователем для одобрения команд. Однако он также имел параметр non_interactive, управляемый LLM. Специально составленный запрос мог установить этот параметр в true, обходя механизм подтверждения. Эта обходная уязвимость позволяет выполнять произвольные команды ОС на хосте агента без одобрения оператора. Уязвимость идентифицирована как CVE-2026-18733. Версии до 0.8.0 затронуты этой проблемой. Этот бюллетень требует внимания оператора. Дополнительная обновленная информация доступна в статье.
CVE-2026-18733 - Prompt injection bypasses shell tool consent gate in Strands Agents Tools aws.amazon.com
RSS Hunter RSS Hunter • 3 авг.

CVE-2026-18654 - Отключена проверка ключа хоста SSH в вспомогательных командах AWS CLI EMR

Идентификатор бюллетеня: 2026-071-AWS Область действия: AWS Тип контента: Важное (требует внимания) Дата публикации: 08.03.2026 12:30 PDTОписание:AWS Command Line Interface (AWS CLI) — это унифицированный инструмент для управления службами AWS из командной строки. Мы выявили CVE-2026-18654, проблему, при которой вспомогательные команды EMR SSH (aws emr ssh, aws emr socks, aws emr put, aws emr get) отключали проверку SSH-ключа хоста, что могло позволить злоумышленникам, находящимся в середине сети, перехватывать SSH-сессии и передачу файлов путем сетевого позиционирования между клиентом и конечной точкой кластера EMR.Затронутые версии: - AWS CLI v1 <= 1.45.27 - AWS CLI v2 <= 2.35.2Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18654 - Disabled SSH host key verification in AWS CLI EMR helper commands aws.amazon.com
RSS Hunter RSS Hunter • 3 авг.

CVE-2026-18655 - Раскрытие учетных данных брокера и токена OAuth в сервере Amazon MQ MCP от AWS Labs через внедрение подсказок

Идентификатор бюллетеня: 2026-070-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 08.03.2026 12:00 PDTОписание:AWS Amazon MQ MCP Server (awslabs.amazon-mq-mcp-server) — это сервер протокола контекста модели, который позволяет ИИ-помощникам взаимодействовать с брокерами сообщений Amazon MQ.Мы выявили CVE-2026-18655, неправильное ограничение целевых конечных точек в инструментах подключения брокера RabbitMQ Amazon MQ MCP Server (awslabs.amazon-mq-mcp-server) до версии 2.0.24, которое может позволить удаленному неаутентифицированному субъекту получить учетные данные брокера Amazon MQ для RabbitMQ или токены доступа OAuth, отправленные на специально созданную конечную точку, управляемую через имя хоста брокера, введенное в контексте клиента MCP.Затронутые версии: <= 2.0.23Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18655 - Broker Credential and OAuth Token Disclosure in AWS Labs Amazon MQ MCP Server via Prompt Injection aws.amazon.com
RSS Hunter RSS Hunter • 3 авг.

CVE-2026-18394 - Некорректная авторизация в инструменте http_request Strands Agents Tools

Этот бюллетень безопасности AWS, 2026-069-AWS, описывает важную уязвимость в Strands Agents SDK. Пакет strands-agents-tools, в частности его инструмент http_request, имеет недостаток в авторизации. Эта проблема, отслеживаемая как CVE-2026-18394, может привести к раскрытию учетных данных. Операторы используют HTTP_REQUEST_TOKEN_CONFIG для создания белого списка имен хостов для передачи учетных данных. Однако инструмент http_request имел параметр proxies в своей схеме ввода. Большая языковая модель (LLM) может быть обманута с помощью специально созданного запроса для управления этим параметром. Это позволяет установить прокси на конечную точку, контролируемую злоумышленником. Несмотря на прохождение проверки списка разрешенных имен хостов, учетные данные все равно прикрепляются к запросу. Затем запрос направляется через прокси злоумышленника при первом переходе. Следовательно, учетные данные раскрываются в открытом тексте в заголовке Authorization. Затронутые версии — это версии до 0.8.2. Пользователям следует обновить до версии 0.8.2 или более поздней, чтобы устранить эту уязвимость. Дополнительные сведения доступны в связанной статье, где представлена исчерпывающая информация.
CVE-2026-18394 - Incorrect authorization in Strands Agents Tools http_request tool aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

CVE-2026-18420 - Удаленное выполнение кода через загрязнение прототипа в плагине TSVB OpenSearch Dashboards

Идентификатор бюллетеня: 2026-068-AWS Дата публикации: 31.07.2026 11:00 PDTПожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18420 - Remote Code Execution via Prototype Pollution in OpenSearch Dashboards TSVB Plugin aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

Неполное исправление для инъекции кода CVE-2025-4318 в Amazon @aws-amplify/codegen-ui-react

Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
Incomplete fix for CVE-2025-4318 code injection in Amazon @aws-amplify/codegen-ui-react aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

CVE-2026-18140 - Неконтролируемая рекурсия в пути пропуска неизвестных ключей aws-smithy-json позволяет удаленно отказать в обслуживании без аутентификации на серверах, сгенерированных smithy-rs.

Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-18140 - Uncontrolled recursion in the aws-smithy-json unknown-key skip path allows unauthenticated remote denial of service in smithy-rs generated servers aws.amazon.com
RSS Hunter RSS Hunter • 31 июл.

CVE-2026-16796 - Некорректная нейтрализация разделителей аргументов в функции install_packages() Python SDK AWS Bedrock AgentCore

Идентификатор бюллетеня: 2026-065-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 23.07.2026 13:00 PDTОписание:Python SDK AWS Bedrock AgentCore (bedrock-agentcore) предоставляет инструменты для создания ИИ-агентов, включая клиент Code Interpreter, который устанавливает пакеты Python в управляемую песочницу. Мы выявили CVE-2026-16796, неправильную нейтрализацию разделителей аргументов в методе install_packages(), которая может позволить удаленному аутентифицированному пользователю выполнять произвольные команды в песочнице Code Interpreter через специально сформированные аргументы имени пакета.Затронутые версии: bedrock-agentcore версии <1.18.1Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-16796 - Improper neutralization of argument delimiters in AWS Bedrock AgentCore Python SDK install_packages() aws.amazon.com
RSS Hunter RSS Hunter • 23 июл.

CVE-2026-16756 - Выделение ресурсов без ограничений в стандартном пути serve() aws-smithy-http-server позволяет неаутентифицированным атакам типа "отказ в обслуживании" (Slowloris).

Идентификатор бюллетеня: 2026-064-AWS Область применения: AWS Тип контента: Важное (требует внимания) Дата публикации: 23.07.2026 11:30 PDTОписание:Smithy-RS — это фреймворк для генерации кода и времени выполнения на языке Rust, который генерирует HTTP-клиенты и серверы из определений интерфейсов Smithy, обеспечивая работу AWS SDK для Rust и пользовательских реализаций сервисов. Мы выявили CVE-2026-16756, при котором выделение ресурсов без ограничений в стандартном пути serve() aws-smithy-http-server позволяет проводить отказ в обслуживании типа "Slowloris" без аутентификации.Затронутые версии: aws-smithy-http-server <= 0.66.4Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-16756 - Allocation of resources without limits in the default aws-smithy-http-server serve() path allows unauthenticated Slowloris denial of service aws.amazon.com
RSS Hunter RSS Hunter • 23 июл.

CVE-2026-16584 - Обход политики безопасности сервера AWS API MCP через сбой при запуске

Выпущено важное уведомление по безопасности для AWS. Проблема затрагивает открытый сервер AWS API MCP, названный awslabs.aws-api-mcp-server. Этот сервер позволяет ИИ-ассистентам выполнять команды AWS CLI. Он имеет необязательную политику безопасности, предназначенную для запрета или ограничения определенных операций AWS. В процессе запуска сервера была обнаружена уязвимость CVE-2026-16584. Если инициализация политики безопасности сервера завершается неудачно, он продолжает работать без проверки политик для каждого запроса. Когда режимы "закрыто при сбое" не включены в политике безопасности, могут быть выполнены несанкционированные операции AWS API. Эти операции в противном случае были бы запрещены или ограничены политикой. Важно отметить, что базовые разрешения IAM для учетных данных остаются активными и не изменяются этой уязвимостью. Затронутые версии сервера AWS API MCP — это версии, начиная с 0.2.13 и до 1.3.47. Пользователям рекомендуется ознакомиться с предоставленной статьей для получения самой актуальной и полной информации.
CVE-2026-16584 - AWS API MCP Server Security Policy Bypass via Startup Failure aws.amazon.com
RSS Hunter RSS Hunter • 23 июл.

CVE-2026-16317 и CVE-2026-16318: Проблемы с s2n-tls: реализация протоколов TLS/SSL с открытым исходным кодом

AWS выпустила важное уведомление о двух уязвимостях в своей библиотеке s2n-tls. Первая, CVE-2026-16317, представляет собой незаметное отбрасывание зашифрованных записей TLS 1.3. Эта ошибка позволяет злоумышленнику типа "человек посередине" незаметно удалять отдельные записи данных. Проблема возникает из-за того, что байт внешнего типа содержимого не проверяется на соответствие требуемому значению application_data в TLS 1.3. Следовательно, эта уязвимость затрагивает все соединения TLS 1.3 как для клиентов, так и для серверов. Соединения TLS 1.2 и QUIC не затронуты этой конкретной проблемой. Вторая уязвимость, CVE-2026-16318, представляет собой утечку памяти в параметрах транспорта QUIC. Это происходит во время фазы HelloRetryRequest соединений TLS 1.3 с поддержкой QUIC. Неправильное управление выделением памяти приводит к утечке при каждой обработке HelloRetryRequest. Это может привести к увеличению использования памяти на серверах, работающих длительное время. Только развертывания, использующие QUIC, затронуты этой утечкой памяти. Обе уязвимости затрагивают версии s2n-tls до v1.7.5 включительно. Пользователям рекомендуется ознакомиться со статьей по ссылке для получения полной информации.
CVE-2026-16317 and CVE-2026-16318: Issues with s2n-tls: an open-source implementation of the TLS/SSL protocols aws.amazon.com
RSS Hunter RSS Hunter • 21 июл.

CVE-2026-15957 - Неконтролируемая рекурсия в сгенерированных smithy-rs десериализаторах JSON, CBOR и XML позволяет неаутентифицированным удаленным пользователям вызвать отказ в обслуживании через рекурсивные структуры.

Идентификатор бюллетеня: 2026-061-AWS Область: AWS Тип контента: Важное (требует внимания) Дата публикации: 21.07.2026 12:45 PDTОписание:Smithy-RS — это фреймворк для генерации кода и времени выполнения на языке Rust, который генерирует HTTP-клиенты и серверы из определений интерфейсов Smithy, обеспечивая работу AWS SDK для Rust и пользовательских реализаций сервисов. Мы выявили CVE-2026-15957, при котором неконтролируемая рекурсия в функциях десериализации JSON, CBOR и XML, генерируемых Amazon smithy-rs, может позволить третьей стороне вызвать отказ в обслуживании (аварийное завершение процесса из-за исчерпания стека) посредством небольшого запроса, содержащего глубоко вложенные данные для рекурсивной формы модели, к сгенерированному SDK или серверу.Затронутые версии: крейты aws-sdk-rust < release-2026-06-0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15957 - Uncontrolled recursion in smithy-rs generated JSON, CBOR, and XML deserializers allows unauthenticated remote denial of service via recursive shapes aws.amazon.com
RSS Hunter RSS Hunter • 21 июл.

CVE-2026-15415 - Обход каталога и произвольная запись файлов в обработчиках рабочих процессов сервера aws-healthomics-mcp

Идентификатор бюллетеня: 2026-060-AWS Область действия: AWS Тип контента: Важно (требует внимания) / Информационный Дата публикации: 17.07.2026 12:45 PDTОписание:AWS HealthOmics — это сервис, соответствующий требованиям HIPAA, который полностью управляет инфраструктурой вычислений, хранения данных и движком рабочих процессов, необходимых для масштабирования биоинформатических анализов для клинической диагностики, открытия лекарств и сельскохозяйственных исследований. Мы выявили CVE-2026-15415, при котором некорректное ограничение пути к файлу в ограниченном каталоге в инструментах линтинга AWS HealthOmics MCP Server (aws-healthomics-mcp-server) до версии 0.0.36 может позволить злоумышленнику, который может влиять на агент MCP, записывать контролируемый злоумышленником контент в произвольные места за пределами предполагаемого каталога пакета рабочего процесса через последовательности обхода каталога во входных данных workflow_files.Затронутые версии: aws-healthomics-mcp-server <= 0.0.35Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15415 - Path traversal and arbitrary file write in the workflow linters of aws-healthomics-mcp-server aws.amazon.com
RSS Hunter RSS Hunter • 17 июл.

CVE-2026-12283 - Проблема с коннектором Synapse для Athena Federated Query

ID бюллетеня: 2026-059-AWS Область применения: AWS Тип содержания: Важно (требует внимания) Дата публикации: 17.07.2026 12:00 PDT Описание: Amazon Athena — это бессерверный интерактивный сервис запросов, который позволяет анализировать данные непосредственно в Amazon S3 с использованием стандартного SQL. Athena Query Federation — это функция, позволяющая подключаться к источникам данных вне Amazon S3, таким как DynamoDB, Azure Synapse и пользовательским коннекторами с использованием стандартного SQL-синтаксиса. Эти коннекторы имеют открытый исходный код и регулярно внедряются в сервис Athena. Мы выявили CVE-2026-12283. Пользователь с доступом к учетной записи Azure Synapse может создать таблицу с специально созданным именем, которая при запросе через коннектор Athena Synapse может привести к возврату нежелательных данных. Изменённые версии: - версии >= v2022.20.1 (выпущена 19.05.2022) И - версии <= v2026.19.1 (выпущены 28.05.2026) Пожалуйста, ознакомьтесь с статьёй ниже для получения самой актуальной и полной информации, связанной с этим информационным бюллетенем по безопасности AWS.
CVE-2026-12283 - Issue with Athena Federated Query Synapse Connector aws.amazon.com
RSS Hunter RSS Hunter • 17 июл.

CVE-2026-15895: Внедрение команд ОС в jsii-diff в AWS jsii

Идентификатор бюллетеня: 2026-057-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 15.07.2026 12:00 PDTОписание:jsii-diff — это инструмент командной строки для сравнения различий в API между двумя сборками jsii и сообщения об ошибках в случае обратно несовместимых изменений в API. Мы выявили CVE-2026-15895, проблему, при которой специально отформатированные аргументы командной строки могут использоваться для выполнения команд оболочки через этот инструмент.Затронутые версии: < 1.131.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15895: OS command injection in jsii-diff in AWS jsii aws.amazon.com
RSS Hunter RSS Hunter • 16 июл.

CVE-2026-15737 - Раскрытие конфиденциального содержимого через OpenTelemetry spans в AgentCore Python SDK

Идентификатор бюллетеня: 2026-058-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 16.07.2026 10:15 PDTОписание:Bedrock AgentCore Python SDK (bedrock-agentcore) — это библиотека Python с открытым исходным кодом, предоставляющая клиентские инструменты для создания ИИ-агентов на платформе Amazon Bedrock AgentCore. Мы выявили CVE-2026-15737 в инструментировании OpenTelemetry SDK. Затронутые версии записывали необработанные пользовательские запросы и полные ответы агента в атрибуты span OpenTelemetry при каждом вызове без фильтрации или маскирования. Эти span передаются в группу журналов CloudWatch клиента aws/spans, где локальный аутентифицированный пользователь с доступом на чтение журналов CloudWatch мог получить доступ к потенциально конфиденциальному содержимому.Затронутые версии: 1.4.8, 1.5.0Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15737 - Sensitive content disclosure via OpenTelemetry spans in AgentCore Python SDK aws.amazon.com
RSS Hunter RSS Hunter • 16 июл.

CVE-2026-15746 - Раскрытие учетных данных в инструменте elasticsearch_memory инструментов Strands Agents

Strands Agents — это SDK с открытым исходным кодом на Python для создания ИИ-агентов. Связанный пакет, strands-agents-tools, предлагает готовые инструменты, включая инструмент elasticsearch_memory. Этот инструмент используется для хранения памяти агента. В инструменте elasticsearch_memory была обнаружена уязвимость подделки серверных запросов (SSRF), CVE-2026-15746. Параметры подключения инструмента были доступны большой языковой модели через ее схему. Когда вызывающий абонент не указывал api_key, инструмент использовал переменную окружения оператора ELASTICSEARCH_API_KEY. Эта переменная затем отправлялась на хост, указанный языковой моделью. Вредоносный запрос мог обмануть инструмент, заставив его подключиться к серверу, контролируемому злоумышленником. Это соединение затем раскрывало ключ API Elasticsearch оператора. Уязвимость затрагивает версии программного обеспечения до 0.7.0.
CVE-2026-15746 - Credential disclosure in Strands Agents Tools elasticsearch_memory tool aws.amazon.com
RSS Hunter RSS Hunter • 15 июл.

CVE-2026-15738 - Проблема с перехватом трафика между пространствами имен в AWS Load Balancer Controller через порядок приоритета HTTPRoute/GRPCRoute

Идентификатор бюллетеня: 2026-055-AWS Область действия: AWS Тип контента: Важно (требует внимания) Дата публикации: 14.07.2026 13:30 PDTОписание:AWS Load Balancer Controller — это контроллер Kubernetes с открытым исходным кодом, который управляет ресурсами AWS Elastic Load Balancing для кластеров Kubernetes. Мы выявили CVE-2026-15738, проблему неправильного порядка приоритета правил в логике генерации правил прослушивателя Gateway API. Когда HTTPRoute и GRPCRoute присоединены к одному и тому же прослушивателю Application Load Balancer (ALB) HTTPS с одинаковым именем хоста, контроллер назначает приоритеты правил прослушивателя ALB на основе типа маршрута, а не специфичности маршрута. Это приводит к тому, что все правила, производные от HTTPRoute, получают меньшие номера приоритета ALB, оцениваемые ALB первыми, чем правила, производные от GRPCRoute, независимо от того, какой маршрут является более специфичным. Пользователь с областью действия пространства имен, имеющий разрешение на создание объектов HTTPRoute в пространстве имен, разрешенном общим шлюзом, может создать универсальный HTTPRoute, который перехватывает трафик, предназначенный для более специфичного GRPCRoute в другом пространстве имен.Затронутые версии: AWS Load Balancer Controller v3.4.1 и любая версия, включающая поддержку присоединения HTTPRoute и GRPCRoute к одному и тому же прослушивателю (введено в PR #4794)Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15738 - Issue with AWS Load Balancer Controller Cross-Namespace Traffic Interception via HTTPRoute/GRPCRoute Priority Ordering aws.amazon.com
RSS Hunter RSS Hunter • 14 июл.

CVE-2026-15643 - AWS HealthLake MCP Server SSRF через непроверенный URL пагинации

Идентификатор бюллетеня: 2026-054-AWS Область: AWS Тип контента: Важное (требует внимания) Дата публикации: 14.07.2026 13:00 PDTОписание:AWS HealthLake MCP Server (awslabs.healthlake-mcp-server) — это сервер протокола контекста модели, который позволяет ИИ-ассистентам взаимодействовать с хранилищами данных AWS HealthLake FHIR. Мы выявили CVE-2026-15643, уязвимость подделки запросов на стороне сервера в компоненте обработки пагинации в AWS awslabs.healthlake-mcp-server до версии 0.0.14 на всех платформах, которая может позволить удаленному аутентифицированному пользователю извлечь временные учетные данные безопасности AWS на произвольный конечный пункт назначения через специально сформированный параметр next_token. Сервер не проверяет, что URL-адреса пагинации указывают обратно на ожидаемый конечный пункт HealthLake, что позволяет злоумышленнику перенаправлять последующие запросы на контролируемый злоумышленником сервер.Затронутые версии: < 0.0.14Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-15643 - AWS HealthLake MCP Server SSRF via Unvalidated Pagination URL aws.amazon.com
RSS Hunter RSS Hunter • 14 июл.

CVE-2026-14904 - Некорректное разрешение ссылок в Auth.GetUserPrivateKey в AWS Research and Engineering Studio

Идентификатор бюллетеня: 2026-053-AWS Область: AWS Тип контента: Важно (требует внимания) Дата публикации: 07.07.2026 09:45 PDTОписание:AWS Research and Engineering Studio (RES) — это решение с открытым исходным кодом, которое позволяет исследователям и инженерам создавать и управлять безопасными виртуальными рабочими столами и вычислительными ресурсами в AWS.Мы выявили проблему неправильного разрешения ссылок перед доступом к файлам (CWE-59) в API Auth.GetUserPrivateKey. Аутентифицированный удаленный пользователь мог читать произвольные файлы на экземпляре EC2 cluster-manager, заменяя свой файл закрытого ключа SSH (~/.ssh/id_rsa) символической ссылкой, указывающей на любой файл на хосте. Поскольку процесс cluster-manager выполняется от имени root, любой файл, доступный для чтения root, становится доступным, включая закрытые ключи SSH других пользователей и секреты конфигурации приложений.Затронутые версии: <=2026.03Пожалуйста, обратитесь к статье ниже для получения самой актуальной и полной информации, связанной с этим бюллетенем безопасности AWS.
CVE-2026-14904 - Improper Link Resolution in Auth.GetUserPrivateKey in AWS Research and Engineering Studio aws.amazon.com
RSS Hunter RSS Hunter • 7 июл.