CVE-2026-105811 - Bypass dell’autorizzazione tramite una chiave controllata dall’utente nell’esempio di hook Lambda di Amazon Q Business in QnABot su AWS
ID Bollettino: 2026-126-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 06/10/2026 13:00 PDT
Descrizione:
QnABot su AWS è una soluzione di esempio di un’interfaccia di comunicazione (chatbot) multicanale e multilingue che risponde alle domande e ai feedback dei tuoi clienti. Abbiamo identificato la vulnerabilità CVE-2026-105811 nell’esempio di hook Lambda di Amazon Q Business di QnABot su AWS. L’esempio di hook Lambda di Amazon Q Business (q-business-lambda-hook) è un esempio di integrazione opzionale incluso nel repository QnABot su AWS. Richiede una distribuzione manuale separata e una configurazione aggiuntiva, in quanto non viene distribuito automaticamente con QnABot. I clienti che non hanno distribuito questo esempio non sono direttamente interessati e non devono intraprendere alcuna azione.
Il bypass dell’autorizzazione mediante una chiave controllata dall’utente nell’esempio incluso in QnABot su AWS, nelle versioni dalla 7.0.0 alla 7.4.5, potrebbe consentire a un utente remoto autenticato di leggere oggetti Amazon S3 arbitrari nell’account AWS di distribuzione.
Per risolvere il problema, è necessario che i clienti interessati aggiornino lo stack di QnABot su AWS alla versione 7.4.6 o successiva e ridistribuiscano quindi lo stack di esempio di hook Lambda di Amazon Q Business. L’aggiornamento dello stack QnABot su AWS non è sufficiente a garantire la correzione.
Versioni interessate: >=7.0.0, <7.4.6
Risoluzione:
questo problema è stato risolto nella versione v7.4.6 di QnABot su AWS. Per integrare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork. È necessario che i clienti interessati aggiornino lo stack di QnABot su AWS alla versione 7.4.6 o successiva e ridistribuiscano quindi lo stack di esempio di hook Lambda di Amazon Q Business. L’aggiornamento dello stack QnABot su AWS non è sufficiente a garantire la correzione. Non è richiesta alcuna azione per i clienti che attualmente non utilizzano lo stack di esempio di hook Lambda di Amazon Q Business.
Soluzioni alternative:
non è disponibile alcuna soluzione alternativa.
Riferimenti:
Ringraziamento:
desideriamo ringraziare Oren Yomtov per aver collaborato alla risoluzione di questo problema attraverso il processo di divulgazione coordinata delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.