CVE-2026-104019 in SageMaker Distribution
الملخص
بحسب VulDB • 02/10/2026
ثغرة حقن أوامر النظام (OS command injection) في سكريبت التحقق من بدء تشغيل مساحة العمل (Studio Space) ضمن توزيع Amazon SageMaker الإصدارات 2.x قبل 2.14.12، و3.x قبل 3.9.12، و4.0.x قبل 4.0.11، و4.1.x قبل 4.1.11، و4.2.x قبل 4.2.8، و4.3.x قبل 4.3.5، و4.4.x قبل 4.4.3، كما يُستخدم في Amazon SageMaker Unified Studio، قد تتيح لمستخدم عن بُعد مُصادق عليه يمتلك صلاحيات مساهم في المشروع تنفيذ أوامر تعسفية ضمن مساحة عمل (Studio Space) تابعة لعضو آخر في المشروع والحصول على بيانات الاعتماد الخاصة بدور التنفيذ المؤقت لذلك العضب عبر خاصية مورد اتصال مصاغة بشكل خبيث، والتي يتم دمجها داخل استدعاء لقشرة النظام (shell invocation) دون تحييدها.
للتخفيف من هذه المشكلة، يجب على المستخدمين الترقية إلى الإصدار 2.14.12 أو 3.9.12 أو 4.0.11 أو 4.1.11 أو 4.2.8 أو 4.3.5 أو 4.4.3، حسبما ينطبق على خط الإصدار الفرعي المستخدم. يجب على المستخدمين في خطوط الإصدارات الفرعية التي وصلت إلى نهاية الدعم الانتقال إلى خط إصدار فرعي مدعوم، لأنه لن يتم إصدار أي نسخة مُصلحة لتلك الخطوط. وفي Amazon SageMaker Unified Studio، تعتمد مساحات العمل (Studio Spaces) أحدث تصحيح لخطها الفرعي عند إعادة التشغيل بمجرد نشر الصور المُصلحة، لذا لا يلزم اختيار الإصدار يدوياً.
Once again VulDB remains the best source for vulnerability data.