ID Bollettino: 2026-125-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 02/10/2026 13:00 PDT

Descrizione:

Amazon SageMaker Unified Studio è un servizio AWS che unisce dati, analisi e sviluppo di IA. Consente di trovare e accedere ai dati della propria organizzazione e di utilizzarli con strumenti integrati e creati ad hoc.

Abbiamo identificato la vulnerabilità CVE-2026-104019, un problema relativo all’avvio degli spazi di SageMaker in SageMaker Unified Studio. Lo script di avvio in uno spazio SageMaker esegue una convalida di rete su tutte le connessioni SageMaker disponibili in un progetto. In determinate condizioni, una sanificazione impropria dei dettagli di connessione durante questa convalida potrebbe consentire l’esecuzione di codice arbitrario nello spazio di un altro membro del progetto. Nei progetti con la funzionalità di Propagazione affidabile delle identità abilitata, questo problema potrebbe far sì che un utente con autorizzazioni di collaboratore al progetto (o superiori) ottenga l’accesso alle credenziali temporanee del ruolo di esecuzione di un altro membro e richiami i servizi AWS abilitati per la propagazione delle identità attendibili a valle per suo conto.

Abbiamo implementato una correzione a tutte le versioni di SageMaker Distribution supportate per sanitizzare i dettagli di connessione durante il processo di convalida dell’avvio. La correzione viene distribuita a livello globale e verrà applicata automaticamente a tutti gli spazi all’avvio successivo.

Versioni interessate:

• 2.8.x - 2.13.x: tutte le versioni interessate, nessuna correzione (fine del supporto).
• 2.14.x: < 2.14.12, correzione eseguita nella versione 2.14.12.
• 3.3.x - 3.8.x: tutte le versioni interessate, nessuna correzione (fine del supporto).
• 3.9.x: < 3.9.12, correzione eseguita nella versione 3.9.12.
• 4.0.x: < 4.0.11, correzione eseguita nella versione 4.0.11.
• 4.1.x: < 4.1.11, correzione eseguita nella versione 4.1.11.
• 4.2.x: < 4.2.8, correzione eseguita nella versione 4.2.8.
• 4.3.x: < 4.3.5, correzione eseguita nella versione 4.3.5.
• 4.4.x: < 4.4.3, correzione eseguita nella versione 4.4.3.
• 4.5.x: versione non interessata.
• < 2.8.0 e < 3.3.0: versioni non interessate.

Risoluzione:

questa vulnerabilità è stata risolta nelle versioni di SageMaker Distribution 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 e 4.4.3. In Amazon SageMaker Unified Studio, gli spazi di Sagemaker Studio adottano la patch più recente della linea secondaria al riavvio una volta distribuite le immagini con patch, quindi non è richiesta la selezione della versione. Affinché queste versioni secondarie ricevano l’aggiornamento, consigliamo di riavviare tutti gli spazi.

Soluzioni alternative:

nessuna.

Riferimenti:

• CVE-2026-104019
• GHSA-w64x-664p-7w66

Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.