CVE-2026-105811: Omisión de autorización mediante una clave controlada por el usuario en el ejemplo del enlace de Lambda de Amazon Q Business en QnABot en AWS
ID del boletín: 2026-126-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 06/10/2026 13:00 h PDT
Descripción:
QnABot en AWS es una solución de muestra de una interfaz de conversación (chatbot) multicanal y multilingüe que responde a las preguntas, respuestas y comentarios de sus clientes. Identificamos la vulnerabilidad CVE-2026-105811 en el ejemplo opcional del enlace de Lambda de Amazon Q Business en QnABot en AWS. El ejemplo del enlace de Lambda de Amazon Q Business (q-business-lambda-hook) es una muestra de integración opcional que se incluye en el repositorio de QnABot en AWS. Requiere una implementación manual independiente y una configuración adicional; no se implementa automáticamente con QnABot. Los clientes que no hayan implementado este ejemplo no se ven afectados y no es necesario que tomen ninguna medida.
La omisión de autorización mediante una clave controlada por el usuario en el ejemplo incluido en las versiones 7.0.0 a 7.4.5 de QnABot en AWS podría permitir que un usuario remoto autenticado leyera objetos arbitrarios de Amazon S3 en la cuenta de AWS en proceso de implementación.
Para solucionar este problema, los clientes afectados deben actualizar la pila de QnABot en AWS a la versión 7.4.6 o una versión posterior y, a continuación, volver a implementar la pila de ejemplo del enlace de Lambda de Amazon Q Business. La actualización de la pila de QnABot en AWS por sí sola no proporciona la solución.
Versiones afectadas: >=7.0.0, <7.4.6
Resolución:
Este problema se solucionó en la versión 7.4.6 de QnABot en AWS. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas revisiones. Los clientes afectados deben actualizar la pila de QnABot en AWS a la versión 7.4.6 o una versión posterior y, a continuación, volver a implementar la pila de ejemplo del enlace de Lambda de Amazon Q Business. La actualización de la pila de QnABot en AWS por sí sola no proporciona la solución. Los clientes que no utilizan actualmente la pila de ejemplo del enlace de Lambda de Amazon Q Business no requieren ninguna acción.
Soluciones alternativas:
No hay ninguna solución alternativa disponible.
Referencias:
Reconocimiento:
Agradecemos a Oren Yomtov por colaborar en este problema a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud de seguridad.