CVE-2026-89049 – Server-Side Request Forgery (SSRF) in der Portweiterleitungsfunktion des Session Managers im AWS Systems Manager Agent
Bulletin-ID: 2026-107-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Datum der Veröffentlichung: 10.09.2026, 11.30 Uhr PDT
Beschreibung:
AWS Systems Manager Agent (SSM Agent) ist eine Software, die auf verwalteten Knoten (EC2-Instances, On-Premises-Server und andere unterstützte Maschinen) ausgeführt wird und Anfragen vom AWS-Systems-Manager-Service verarbeitet und Funktionen wie die Session-Manager-Portweiterleitung an Remote-Hosts ermöglicht. Wir haben die Schwachstelle CVE-2026-89049 identifiziert, ein Problem mit Server-Side Request Forgery in der Remote-Host-Portweiterleitungsfunktion. Aufgrund einer fehlerhaften Validierung äquivalenter Adressdarstellungen könnte ein authentifizierter Benutzer mit Portweiterleitungsberechtigung die Denylist für Remote-Ziele umgehen und link-lokale Endpunkte erreichen, wodurch er möglicherweise die temporären IAM-Rollen-Anmeldeinformationen der verwalteten Instance erlangen und von außerhalb der Instance handeln könnte, die die Berechtigungen dieser Rolle besitzen.
Betroffene Versionen: < 3.3.4851.0 (alle Versionen, die die Remote-Host-Portweiterleitung unterstützen)
Behebung:
Dieses Problem wurde in SSM-Agent-Version 3.3.4851.0 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Problemumgehungen:
Beschränken Sie die Verwendung des Dokuments AWS-StartPortForwardingSessionToRemoteHost, bis der Agent aktualisiert ist, indem Sie die ssm:StartSession-IAM-Berechtigungen und SSM-Dokumentberechtigungen so einschränken, dass nicht vertrauenswürdige Prinzipale keine Remote-Host-Portweiterleitungssitzungen starten können.
Referenzen:
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com.