CVE-2026-104019 in SageMaker Distribution
Sumário
de VulDB • 03/10/2026
Injeção de comando OS (Sistema Operacional) no script de validação da inicialização do Studio Space na Amazon SageMaker Distribution 2.x anterior à versão 2.14.12, 3.x anterior à 3.9.12, 4.0.x anterior à 4.0.11, 4.1.x anterior à 4.1.11, 4.2.x anterior à 4.2.8, 4.3.x anterior à 4.3.5 e 4.4.x anterior à 4.4.3, conforme utilizado pelo Amazon SageMaker Unified Studio, pode permitir que um usuário remoto autenticado com permissões de contribuidor do projeto execute comandos arbitrários no Studio Space de outro membro do projeto e obtenha as credenciais da função temporária de execução desse membro por meio de uma propriedade de recurso de conexão manipulada ad hoc, que é interpolada em uma invocação de shell sem neutralização.
Para remediar este problema, os usuários devem atualizar para a versão 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 ou 4.4.3, conforme aplicável à linha menor em uso. Os usuários nas linhas menores que atingiram o fim do suporte devem migrar para uma linha menor suportada, pois nenhuma versão corrigida será lançada para essas linhas. No Amazon SageMaker Unified Studio, os Studio Spaces adotam a última correção de sua linha menor na reinicialização assim que as imagens corrigidas são implantadas, portanto, não é necessária seleção de versão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.