공지 ID: 2026-125-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/02/2026 13:00 PM PDT

설명:

Amazon SageMaker Unified Studio는 데이터, 분석 및 AI 개발을 통합하는 AWS 서비스입니다. 이를 통해 조직의 데이터를 찾아 액세스하고, 통합된 전용 도구로 해당 데이터를 활용해 작업할 수 있습니다.

SageMaker Unified Studio에서 SageMaker Spaces를 시작할 때 발생하는 문제인 CVE-2026-104019를 확인했습니다. SageMaker Space의 시작 스크립트는 프로젝트에서 사용 가능한 모든 SageMaker 연결에 대해 네트워크 검증을 수행합니다. 특정 조건에서 이 검증 중에 연결 세부 정보를 연결 세부 정보가 적절하게 정제되지 않아 다른 프로젝트 멤버의 스페이스에서 임의의 코드를 실행할 수 있습니다. 신뢰할 수 있는 자격 증명 전파 기능이 활성화된 프로젝트에서 이 문제로 인해 프로젝트 기여자 권한(또는 그 이상)이 있는 사용자가 다른 멤버의 임시 실행 역할 자격 증명에 액세스하고 다운스트림의 신뢰할 수 있는 자격 증명 전파 지원 AWS 서비스를 대신 호출할 수 있습니다.

시작 검증 프로세스 중에 연결 세부 정보를 정제하도록 지원되는 모든 SageMaker Distribution 버전에 수정 사항을 구현했습니다. 수정 사항은 전역적으로 배포되며 다음 시작 시 모든 스페이스에 자동으로 적용됩니다.

영향을 받는 버전:

• 2.8.x - 2.13.x: 모든 버전이 영향을 받음, 수정 없음(지원 종료)
• 2.14.x: < 2.14.12, 2.14.12에서 수정됨
• 3.3.x - 3.8.x: 모든 버전이 영향을 받음, 수정 없음(지원 종료)
• 3.9.x: < 3.9.12, 3.9.12에서 수정됨
• 4.0.x: < 4.0.11, 4.0.11에서 수정됨
• 4.1.x: < 4.1.11, 4.1.11에서 수정됨
• 4.2.x: < 4.2.8, 4.2.8에서 수정됨
• 4.3.x: < 4.3.5, 4.3.5에서 수정됨
• 4.4.x: < 4.4.3, 4.4.3에서 수정됨
• 4.5.x: 영향을 받지 않음
• < 2.8.0 및 < 3.3.0: 영향을 받지 않음

해결 방법:

이 문제는 SageMaker Distribution 버전 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 및 4.4.3에서 해결되었습니다. Amazon SageMaker Unified Studio에서 Studio Spaces는 패치가 적용된 이미지가 배포되면 다시 시작할 때 마이너 버전 계열의 최신 패치를 채택하므로 버전을 선택할 필요가 없습니다. 이 업데이트를 받으려면 이러한 마이너 버전의 스페이스를 다시 시작하는 것이 좋습니다.

우회 방법:

없음.

참고 사항:

• CVE-2026-104019
• GHSA-w64x-664p-7w66

보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 으로 이메일을 보내 주세요.