CVE-2026-105811 : contournement des autorisations au moyen d’une clé contrôlée par l’utilisateur dans l’exemple de hook Lambda pour Amazon Q Business de QnABot sur AWS
ID du bulletin : 2026-126-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 06/10/2026 à 13 h PDT (heure du Pacifique)
Description :
QnABot sur AWS est un exemple de solution d’interface conversationnelle (chatbot) multicanale et multilingue qui répond aux questions, aux réponses et aux commentaires de votre client. Nous avons identifié le problème CVE-2026-105811 dans l’exemple facultatif de hook Lambda pour Amazon Q Business de QnABot sur AWS. L’exemple de hook Lambda pour Amazon Q Business (q-business-lambda-hook) est un exemple d’intégration facultatif inclus dans le référentiel QnABot sur AWS. Il nécessite un déploiement manuel distinct et une configuration supplémentaire ; il n’est pas déployé automatiquement avec QnABot. Les clients qui n’ont pas déployé cet exemple ne sont pas concernés et n’ont aucune mesure à prendre.
Un contournement des autorisations au moyen d’une clé contrôlée par l’utilisateur dans l’exemple inclus avec les versions 7.0.0 à 7.4.5 de QnABot sur AWS pourrait permettre à un utilisateur distant authentifié de lire n’importe quel objet Amazon S3 du compte AWS utilisé pour le déploiement.
Pour remédier à ce problème, les clients concernés doivent mettre à jour la pile QnABot sur AWS vers la version 7.4.6 ou une version ultérieure, puis redéployer la pile de l’exemple de hook Lambda pour Amazon Q Business. La mise à jour de la pile QnABot sur AWS à elle seule n’applique pas le correctif.
Versions concernées : >= 7.0.0, < 7.4.6
Résolution :
Ce problème a été résolu dans la version v7.4.6 de QnABot sur AWS. Nous vous recommandons de passer à la dernière version et de veiller à ce que tout code issu d’un fork ou dérivé soit corrigé afin d’intégrer les nouveaux correctifs. Les clients devraient mettre à jour la pile QnABot sur AWS vers la version 7.4.6 ou une version ultérieure, puis redéployer la pile de l’exemple de hook Lambda pour Amazon Q Business. La mise à jour de la pile QnABot sur AWS à elle seule n’applique pas le correctif. Aucune action n’est requise pour les clients qui n’utilisent pas actuellement la pile de l’exemple de hook Lambda pour Amazon Q Business.
Solutions de contournement :
Aucune solution de contournement n’est disponible.
Références :
Remerciements :
Nous tenons à remercier Oren Yomtov pour sa collaboration sur ce problème dans le cadre du processus de divulgation coordonnée des vulnérabilités.
Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.