CVE-2026-104019 in SageMaker Distribution
要約
〜によって VulDB • 2026年10月02日
Amazon SageMaker Distribution 2.x（2.14.12より前）、3.x（3.9.12より前）、4.0.x（4.0.11より前）、4.1.x（4.1.11より前）、4.2.x（4.2.8より前）、4.3.x（4.3.5より前）、および4.4.x（4.4.3より前）で使用されるAmazon SageMaker Unified StudioのStudio Space起動検証スクリプトにおけるOSコマンドインジェクションにより、プロジェクト貢献者権限を持つ認証済みリモートユーザーが、シェル呼び出しにインターポレーションされずに中和されないように作られた接続リソースプロパティを通じて、他のメンバーのStudio Spaceで任意のコマンドを実行し、そのメンバーの一時的な実行ロール資格情報を取得できる可能性があります。
この問題を解決するには、使用されているマイナーラインに応じて、バージョン2.14.12、3.9.12、4.0.11、4.1.11、4.2.8、4.3.5、または4.4.3にアップグレードする必要があります。サポート終了のマイナーラインにあるユーザーは、パッチ版がリリースされないため、サポート対象のマイナーラインに移行する必要があります。Amazon SageMaker Unified Studioでは、パッチ済みイメージがデプロイされると、Studio Spaceは再起動時に該当するマイナーラインの最新のパッチを採用するため、バージョン選択は不要です。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.