Bulletin-ID: 2026-125-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 02.10.2026, 13:00 Uhr PDT

Beschreibung:

Amazon SageMaker Unified Studio ist ein AWS-Service, der Daten, Analysen und KI-Entwicklung vereint. Mit dem Tool können Sie nach Daten Ihres Unternehmens suchen, darauf zugreifen und mit integrierten, speziell entwickelten Tools damit arbeiten.

Wir haben CVE-2026-104019 identifiziert, ein Problem beim Start von SageMaker Spaces in SageMaker Unified Studio. Das Startskript in einem SageMaker Space führt eine Netzwerkvalidierung anhand aller verfügbaren SageMaker-Verbindungen in einem Projekt durch. Unter bestimmten Bedingungen kann eine unsachgemäße Bereinigung der Verbindungsdetails während dieser Validierung dazu führen, dass im Space eines anderen Projektmitglieds beliebiger Code ausgeführt wird. In Projekten, bei denen die Funktion „Vertrauenswürdige Identitätsweitergabe“ aktiviert ist, kann dieses Problem dazu führen, dass ein Benutzer mit Berechtigungen für Projektmitwirkende (oder höher) Zugriff auf die temporären Ausführungsrollen-Anmeldeinformationen eines anderen Mitglieds erhält und in seinem Namen nachgelagerte AWS-Services aufruft, die die Weitergabe vertrauenswürdiger Identitäten ermöglichen.

Wir haben einen Fix für alle unterstützten SageMaker Distribution-Versionen implementiert, um die Verbindungsdetails während des Startvalidierungsprozesses zu bereinigen. Der Fix wird global bereitgestellt und gilt beim nächsten Start automatisch für alle Spaces.

Betroffene Versionen:

• 2.8.x – 2.13.x: alle Versionen betroffen, kein Fix (Ende des Supports)
• 2.14.x: < 2.14.12, behoben in 2.14.12
• 3.3.x – 3.8.x: alle Versionen betroffen, kein Fix (Ende des Supports)
• 3.9.x: < 3.9.12, behoben in 3.9.12
• 4.0.x: < 4.0.11, behoben in 4.0.11
• 4.1.x: < 4.1.11, behoben in 4.1.11
• 4.2.x: < 4.2.8, behoben in 4.2.8
• 4.3.x: < 4.3.5, behoben in 4.3.5
• 4.4.x: < 4.4.3, behoben in 4.4.3
• 4.5.x: nicht betroffen
• < 2.8.0 und < 3.3.0: nicht betroffen

Lösung:

Dieses Problem wurde in den SageMaker Distribution-Versionen 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 und 4.4.3 behoben. In Amazon SageMaker Unified Studio übernehmen Studio Spaces nach der Bereitstellung der gepatchten Images beim Neustart den neuesten Patch ihrer Nebenlinie, sodass keine Versionsauswahl erforderlich ist. Wir empfehlen, alle Spaces für diese Nebenversionen neu zu starten, um dieses Update zu erhalten.

Problemumgehungen:

Keine.

Referenzen:

• CVE-2026-104019
• GHSA-w64x-664p-7w66

Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .