ID del boletín: 2026-125-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 02/10/2026 13:00 h PDT

Descripción:

Estudio unificado de Amazon SageMaker es un servicio de AWS que unifica el desarrollo de datos, análisis e inteligencia artificial. Le permite buscar los datos de su organización, acceder a ellos y actuar en consecuencia con herramientas integradas y diseñadas específicamente.

Identificamos la vulnerabilidad CVE-2026-104019, un problema relacionado con el inicio de Spaces de SageMaker en el Estudio unificado de SageMaker. El script de inicio de un espacio de SageMaker realiza una validación de red comparándola con todas las conexiones de SageMaker disponibles en un proyecto. En determinadas condiciones, la limpieza inadecuada de los detalles de la conexión durante esta validación podría permitir la ejecución de código arbitrario en el espacio de otro miembro del proyecto. En los proyectos que tienen habilitada la función de propagación de identidades de confianza, este problema podría provocar que un usuario con permisos de colaborador del proyecto (o superiores) tuviera acceso a las credenciales temporales del rol de ejecución de otro miembro y llamara en su nombre a los servicios de AWS posteriores habilitados para la propagación de identidades confiables.

Implementamos una solución en todas las versiones de Distribución de SageMaker compatibles para sanear los detalles de la conexión durante el proceso de validación de inicio. La solución se implementa de forma global y se aplicará automáticamente a todos los espacios la próxima vez que se inicie.

Versiones afectadas:

• 2.8.x - 2.13.x: todas las versiones están afectadas y no tienen solución (fin del soporte)
• 2.14.x: < 2.14.12, corregido en 2.14.12
• 3.3.x - 3.8.x: todas las versiones están afectadas y no tienen solución (fin del soporte)
• 3.9.x: < 3.9.12, corregido en 3.9.12
• 4.0.x: < 4.0.11, corregido en 4.0.11
• 4.1.x: < 4.1.11, corregido en 4.1.11
• 4.2.x: < 4.2.8, corregido en 4.2.8
• 4.3.x: < 4.3.5, corregido en 4.3.5
• 4.4.x: < 4.4.3, corregido en 4.4.3
• 4.5.x: no se ve afectada
• < 2.8.0 y < 3.3.0: no están afectadas

Resolución:

Este problema se solucionó en las versiones 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 y 4.4.3 de Distribución de SageMaker. En Estudio unificado de Amazon SageMaker, Studio Spaces adopta el último parche de su línea secundaria al reiniciarse una vez implementadas las imágenes parcheadas, por lo que no es necesario seleccionar la versión. Recomendamos reiniciar los espacios de estas versiones secundarias para recibir esta actualización.

Soluciones alternativas:

Ninguna.

Referencias:

• CVE-2026-104019
• GHSA-w64x-664p-7w66

Envíe un correo electrónico a aws-security@amazon.com  si tiene alguna pregunta o inquietud de seguridad.