CVE-2026-104019 in SageMaker Distribution
Resumen
por VulDB • 2026-10-02
Inyección de comandos del sistema en el script de validación de inicio de Studio Space en Amazon SageMaker Distribution 2.x anterior a 2.14.12, 3.x anterior a 3.9.12, 4.0.x anterior a 4.0.11, 4.1.x anterior a 4.1.11, 4.2.x anterior a 4.2.8, 4.3.x anterior a 4.3.5 y 4.4.x anterior a 4.4.3, tal como se utiliza en Amazon SageMaker Unified Studio, podría permitir que un usuario remoto autenticado con permisos de colaborador del proyecto ejecute comandos arbitrarios en el espacio de trabajo (Studio Space) de otro miembro del proyecto y obtenga las credenciales del rol de ejecución temporal de dicho miembro mediante una propiedad de recurso de conexión manipulada ad hoc que se interpola en la invocación de un shell sin neutralización.
Para remediar este problema, los usuarios deben actualizar a la versión 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 o 4.4.3, según corresponda a la línea menor en uso. Los usuarios de líneas menores que hayan alcanzado el final del soporte deben migrar a una línea menor con soporte activo, ya que no se publicará ninguna versión corregida para esas líneas. En Amazon SageMaker Unified Studio, los espacios de trabajo (Studio Spaces) adoptan el parche más reciente de su línea menor al reiniciarse una vez que las imágenes parcheadas estén desplegadas, por lo que no es necesario seleccionar manualmente la versión.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.