CVE-2026-9291 – Unsichere Deserialisierung bei der Verarbeitung von Auftragsergebnissen im Amazon Braket SDK
Bulletin-ID: 2026-036-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 22.05.2026, 11.15 Uhr PDT
Beschreibung:
Amazon Braket SDK ist eine Open-Source-Python-Bibliothek für die Interaktion mit dem Amazon Braket-Quantencomputingdienst, einschließlich der Verwaltung von hybriden Quantenjobs und dem Abrufen von Auftragsergebnissen. Wir haben CVE-2026-9291 identifiziert, ein Problem der unsicheren Deserialisierung (CWE-502) in der Komponente zur Verarbeitung von Auftragsergebnissen. Die Funktion deserialize_values() des SDK vertraut dem dataFormat-Feld aus einer nicht vertrauenswürdigen JSON-Datei, um zu steuern, ob pickle.loads() für die Datennutzlast aufgerufen wird. Ein authentifizierter Remote-Benutzer mit S3-Schreibzugriff auf den Auftragsausgabe-Bucket kann das dataFormat-Feld in results.json von PLAINTEXT in pickled_v4 ändern und Datenwerte durch ausführbare Nutzdaten ersetzen, wodurch die Ausführung von beliebigem Code auf jedem Rechner, der Auftragsergebnisse verarbeitet erreicht wird.
Betroffene Versionen: >= 1.10.0 UND < 1.117.0
Lösung:
Dieses Problem wurde in amazon-braket-sdk version 1.117.0 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass jeder geforkte oder derivative Code gepatcht wird, damit die neuen Fehlerbehebung integriert sind.
Problemumgehungen:
Wenn Sie nicht sofort ein Upgrade durchführen können, schränken Sie die S3-Bucket-Richtlinien für Ihre Braket-Auftragsausgabe-Buckets ein, um das Prinzip der geringsten Berechtigungen durchzusetzen und sicherzustellen, dass nur vertrauenswürdige Prinzipale über Schreibberechtigungen verfügen. Darüber hinaus können Sie das dataFormat-Feld in den Auftragsergebnis-Metadaten überprüfen, bevor Sie job.result() aufrufen, und die Verarbeitung von Ergebnissen mit einem unerwarteten Format verweigern.
Referenzen:
Bei Sicherheitsfragen oder -bedenken wenden Sie sich bitte per E-Mail an aws-security@amazon.com.