CVE-2026-105811 – QnABot on AWS 中 Amazon Q Business Lambda 勾點範例，透過使用者可控金鑰造成的授權繞過
公告 ID： 2026-126-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 6 日 13:00 (太平洋夏令時間)
描述：
QnABot on AWS 是多管道、多語言對話介面 (chatbot) 的範例解決方案，可回應客戶的問題、答案和意見回饋。我們在 QnABot on AWS 的選用 Amazon Q Business Lambda 勾點範例中發現了 CVE-2026-105811 漏洞。Amazon Q Business Lambda 勾點範例 (q-business-lambda-hook) 是 QnABot on AWS 儲存庫中包含的選用整合範例。此範例需要另行手動部署與額外設定；不會隨 QnABot 自動部署。尚未部署此範例的客戶不受影響，無須採取任何行動。
QnABot on AWS 7.0.0 至 7.4.5 版隨附範例中，透過使用者可控金鑰造成的授權繞過，可能允許已驗證的遠端使用者讀取部署所在 AWS 帳戶中的任意 Amazon S3 物件。
為修正此問題，受影響客戶應將 QnABot on AWS 堆疊更新至 7.4.6 版或更新版本，然後重新部署 Amazon Q Business Lambda 勾點範例堆疊。僅更新 QnABot on AWS 堆疊本身並不會取得修正。
受影響版本： >= 7.0.0 且 < 7.4.6
解決方案：
此問題已在 QnABot on AWS v7.4.6 版中得以解決。建議您升級至最新版本，並確保所有分支或衍生程式碼皆已套用修補程式，以納入最新修正。客戶應將 QnABot on AWS 堆疊更新至 7.4.6 版或更新版本，然後重新部署 Amazon Q Business Lambda 勾點範例堆疊。僅更新 QnABot on AWS 堆疊本身並不會取得修正。目前未使用 Amazon Q Business Lambda 勾點範例堆疊的客戶無須採取任何行動。
變通方法：
目前沒有可用的變通方法。
參考資料：
致謝：
我們要感謝 Oren Yomtov 透過協調式漏洞揭露流程，與我們合作處理此問題。
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com。