CVE-2026-105811 – Umgehung der Autorisierung durch einen benutzergesteuerten Schlüssel im Lambda-Hook-Beispiel von Amazon Q Business in QnABot in AWS
Bulletin-ID: 2026-126-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 06.10.2026, 13:00 Uhr PDT
Beschreibung:
QnABot in AWS ist eine Beispiellösung einer mehrkanaligen, mehrsprachigen Konversationsschnittstelle (Chatbot), die auf die Fragen, Antworten und das Feedback Ihrer Kunden reagiert. Wir haben CVE-2026-105811 im optionalen Lambda-Hook-Beispiel von Amazon Q Business von QnABot in AWS identifiziert. Das Lambda-Hook-Beispiel von Amazon Q Business (q-business-lambda-hook) ist ein optionales Integrationsbeispiel, das im QnABot-in-AWS-Repository enthalten ist. Es erfordert eine separate, manuelle Bereitstellung und zusätzliche Einrichtung; es wird nicht automatisch mit QnABot bereitgestellt. Kunden, die dieses Beispiel nicht bereitgestellt haben, sind nicht betroffen und müssen keine Maßnahmen ergreifen.
Die Umgehung der Autorisierung durch einen benutzergesteuerten Schlüssel in dem Beispiel, das in QnABot in AWS in den Versionen 7.0.0 bis 7.4.5 enthalten ist, könnte es einem authentifizierten Remote-Benutzer ermöglichen, beliebige Amazon-S3-Objekte im bereitstellenden AWS-Konto zu lesen.
Um dieses Problem zu beheben, sollten betroffene Kunden den QnABot-in-AWS-Stack auf Version 7.4.6 oder höher aktualisieren und dann den Lambda-Hook-Beispiel-Stack von Amazon Q Business erneut bereitstellen. Die Aktualisierung des QnABot-in-AWS-Stacks allein behebt das Problem nicht.
Betroffene Versionen: >=7.0.0, <7.4.6
Lösung:
Dieses Problem wurde in QnABot in AWS Version v7.4.6 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder abgeleiteter Code gepatcht wird, damit die neuen Korrekturen enthalten sind. Kunden sollten den QnABot-in-AWS-Stack auf Version 7.4.6 oder höher aktualisieren und dann den Lambda-Hook-Beispiel-Stack von Amazon Q Business erneut bereitstellen. Die Aktualisierung des QnABot-in-AWS-Stacks allein behebt das Problem nicht. Für Kunden, die den Lambda-Hook-Beispiel-Stack von Amazon Q Business derzeit nicht verwenden, sind keine Maßnahmen erforderlich.
Problemumgehungen:
Es ist keine Problemumgehung verfügbar.
Referenzen:
Danksagung:
Wir möchten Oren Yomtov für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .