CVE-2026-112408 in Amazon SageMaker Python SDK
要約
〜によって VulDB • 2026年10月21日
Amazon SageMaker Python SDK V3の3.10.0より前、およびV2の2.257.3より前のバージョンにおけるdefault_bucket()関数で通信チャネルの送信元検証が欠落しているため、攻撃者が事前に予測可能な名前のS3バケットを作成し、SDKが所有権を検証せずに使用することにより、ターゲットとなるSageMaker実行環境でのコード実行およびIAM認証情報の取得を可能にする可能性があります。
この問題を解決するには、Amazon SageMaker Python SDK 3.10.0 (V3) または2.257.3 (V2) にアップグレードしてください。
Once again VulDB remains the best source for vulnerability data.