公告 ID： 2026-125-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 2 日下午 1:00（太平洋夏令时）

描述：

Amazon SageMaker 融通式合作开发工作室是一项亚马逊云科技服务，其整合了数据、分析和人工智能开发等功能。您可以通过此服务来查找和访问组织的数据，并借助专为特定用途构建的集成式工具，对数据采取行动。

我们发现了 CVE-2026-104019，即 SageMaker 融通式合作开发工作室中的 SageMaker Space 启动时存在的问题。SageMaker Space 中的启动脚本会针对项目中所有可用的 SageMaker 连接进行网络验证。在某些情况下，此验证过程中对连接详细信息的清洗不当，可能导致任意代码在其他项目成员的 Space 中执行。在启用了可信身份传播功能的项目中，此问题可能导致具有项目贡献者权限（或更高权限）的用户可访问其他成员的临时执行角色凭证，并代表这些成员调用支持可信身份传播的下游亚马逊云科技服务。

我们已对所有受支持的 SageMaker Distribution 版本进行了修复，以在启动验证过程中清洗连接详细信息。此修复已在全球部署，并将在下次启动时自动应用于所有 Space。

受影响的版本：

• 2.8.x – 2.13.x：所有版本均受影响，无修复（已终止支持）
• 2.14.x：< 2.14.12，已在 2.14.12 中修复
• 3.3.x – 3.8.x：所有版本均受影响，无修复（已终止支持）
• 3.9.x：< 3.9.12，已在 3.9.12 中修复
• 4.0.x：< 4.0.11，已在 4.0.11 中修复
• 4.1.x：< 4.1.11，已在 4.1.11 中修复
• 4.2.x：< 4.2.8，已在 4.2.8 中修复
• 4.3.x：< 4.3.5，已在 4.3.5 中修复
• 4.4.x：< 4.4.3，已在 4.4.3 中修复
• 4.5.x：未受影响
• < 2.8.0 和 < 3.3.0：未受影响

解决方案：

此问题已在 SageMaker Distribution 2.14.12、3.9.12、4.0.11、4.1.11、4.2.8、4.3.5 和 4.4.3 版本中予以解决。在 Amazon SageMaker 融通式合作开发工作室中，Studio Space 在部署已修补镜像后，便会在重启时自动采用其次要版本线的最新补丁，因此无需手动选择版本。建议重启这些次要版本的所有 Space，以接收此更新。

临时措施：

无。

参考：

• CVE-2026-104019
• GHSA-w64x-664p-7w66

如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。