CVE-2026-9291: Deserialización insegura en el procesamiento de resultados de trabajos del SDK de Amazon Braket
ID del boletín: 2026-036-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 22/05/2026 11:15 h PDT
Descripción:
El SDK de Amazon Braket es una biblioteca de Python de código abierto para interactuar con el servicio de computación cuántica de Amazon Braket, incluida la administración de trabajos cuánticos híbridos y la recuperación de los resultados de los trabajos. Identificamos la vulnerabilidad CVE-2026-9291, un problema de deserialización inseguro (CWE-502) en el componente de procesamiento de resultados del trabajo. La función deserialize_values() del SDK confía en el campo dataFormat de un archivo JSON que no es de confianza para controlar si se llama a pickle.loads() en la carga útil de datos. Un usuario autenticado de forma remota con acceso de escritura de S3 al bucket de salida del trabajo puede modificar el campo dataFormat en results.json de PLAINTEXT a pickled_v4 y reemplazar los valores de los datos por cargas útiles ejecutables, lo que permite la ejecución de código arbitrario en cualquier máquina que procese los resultados de los trabajos.
Versiones afectadas: >= 1.10.0 Y < 1.117.0
Resolución:
Este problema se solucionó en la versión 1.117.0 de amazon-braket-sdk. Recomendamos actualizar a la versión más reciente y verificar que cualquier código derivado o bifurcado incorpore las nuevas correcciones.
Soluciones alternativas:
Si no puede realizar la actualización de inmediato, restrinja las políticas de buckets de S3 en sus buckets de salida de trabajos de Braket para imponer el acceso con privilegios mínimos, asegurándose de que solo las entidades principales de confianza tengan permisos de escritura. Además, puede validar el campo dataFormat en los metadatos de los resultados del trabajo antes de llamar a job.result() y negarse a procesar los resultados con un formato inesperado.
Referencias:
Si tiene alguna pregunta o inquietud sobre seguridad, envíe un correo electrónico a aws-security@amazon.com.