CVE-2026-104019: injeção de comando do sistema operacional no script de inicialização do Studio Space na Distribuição do Amazon SageMaker
ID do boletim: 2026-125-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 02/10/2026 13h PDT
Descrição:
O Estúdio Unificado Amazon SageMaker é um serviço da AWS que unifica dados, analytics e desenvolvimento de IA. Ele permite que você encontre e acesse os dados da sua organização e aja neles com ferramentas integradas e criadas para fins específicos.
Identificamos o CVE-2026-104019, um problema com a inicialização do SageMaker Spaces no Estúdio Unificado SageMaker. O script de inicialização em um SageMaker Space realiza uma validação de rede em todas as conexões disponíveis do SageMaker em um projeto. Sob certas condições, a higienização inadequada dos detalhes da conexão durante essa validação pode permitir que um código arbitrário seja executado no espaço de outro membro do projeto. Em projetos com o recurso Trusted Identity Propagation habilitado, este problema pode fazer com que um usuário com permissões de colaborador do projeto (ou superiores) tenha acesso às credenciais temporárias do perfil de execução de outro membro e chame os serviços da AWS habilitados para propagação de identidade confiável em seu nome.
Implementamos uma correção em todas as versões compatíveis do SageMaker Distribution para limpar os detalhes da conexão durante o processo de validação da inicialização. A correção é implantada globalmente e será aplicada a todos os Spaces automaticamente na próxima inicialização.
Versões afetadas:
- 2.8.x a 2.13.x: todas as versões afetadas, sem correção (fim do suporte)
- 2.14.x: < 2.14.12, corrigido em 2.14.12
- 3.3.x a 3.8.x: todas as versões afetadas, sem correção (fim do suporte)
- 3.9.x: < 3.9.12, corrigido em 3.9.12
- 4.0.x: < 4.0.11, corrigido em 4.0.11
- 4.1.x: < 4.1.11, corrigido em 4.1.11
- 4.2.x: < 4.2.8, corrigido em 4.2.8
- 4.3.x: < 4.3.5, corrigido em 4.3.5
- 4.4.x: < 4.4.3, corrigido em 4.4.3
- 4.5.x: não afetado
- < 2.8.0 e < 3.3.0: não afetado
Resolução:
O problema foi resolvido nas versões SageMaker Distribution 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 e 4.4.3. No Estúdio Unificado Amazon SageMaker, o Studio Spaces adota o patch mais recente de sua linha secundária na reinicialização, assim que as imagens corrigidas são implantadas. Portanto, nenhuma seleção de versão é necessária. Recomendamos reiniciar todos os espaços destas versões secundárias para receber essa atualização.
Soluções alternativas:
Nenhuma.
Referências:
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.