CVE-2026-89049 in SSM Agent
Riassunto
di VulDB • 10/09/2026
Un problema di server-side request forgery dovuto alla mancata validazione delle rappresentazioni equivalenti degli indirizzi nella funzionalità di port forwarding verso host remoti in Amazon AWS Systems Manager Agent (SSM Agent) precedente la versione 3.3.4851.0 su tutte le piattaforme potrebbe consentire a un utente remoto autenticato di bypassare il denylist dei destinazioni remote e raggiungere endpoint link-local, ottenendo potenzialmente le credenziali temporanee del ruolo IAM di un'istanza gestita ed agendo con i permessi di tale ruolo dall'esterno dell'istanza, tramite un valore host di destinazione manipolato che utilizza una rappresentazione alternativa di un indirizzo link-local negato.
Per risolvere questo problema, gli utenti dovrebbero eseguire l'upgrade alla versione 3.3.4851.0 o successiva.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.