ID du bulletin : 2026-125-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 02/10/2026 à 13 h PDT (heure du Pacifique)

Description :

Amazon SageMaker Unified Studio est un service AWS qui unifie les données, l’analytique et le développement d’IA. Il vous permet de trouver les données de votre organisation, d’y accéder et de les exploiter à l’aide d’outils intégrés sur mesure.

Nous avons identifié CVE-2026-104019, un problème lié au démarrage des espaces SageMaker dans SageMaker Unified Studio. Le script de démarrage d’un espace SageMaker effectue une validation réseau de toutes les connexions SageMaker disponibles dans un projet. Dans certaines conditions, un assainissement incorrect des informations de connexion lors de cette validation pourrait permettre l’exécution de code arbitraire dans l’espace d’un autre membre du projet. Dans les projets où la fonctionnalité de propagation d’identité fiable est activée, ce problème pourrait permettre à un utilisateur disposant d’autorisations de contributeur au projet (ou d’un niveau supérieur) d’accéder aux informations d’identification temporaires du rôle d’exécution d’un autre membre et d’appeler, au nom de ce dernier, des services AWS en aval pour lesquels la propagation d’identité fiable est activée.

Nous avons appliqué un correctif à toutes les versions prises en charge de la distribution SageMaker afin d’assainir les informations de connexion lors du processus de validation au démarrage. Le correctif est déployé dans le monde entier et s’appliquera automatiquement à tous les espaces lors de leur prochain démarrage.

Versions concernées :

• 2.8.x à 2.13.x : toutes les versions sont concernées, aucun correctif (fin de prise en charge)
• 2.14.x : < 2.14.12, corrigé dans la version 2.14.12
• 3.3.x à 3.8.x : toutes les versions sont concernées, aucun correctif (fin de prise en charge)
• 3.9.x : < 3.9.12, corrigé dans la version 3.9.12
• 4.0.x : < 4.0.11, corrigé dans la version 4.0.11
• 4.1.x : < 4.1.11, corrigé dans la version 4.1.11
• 4.2.x : < 4.2.8, corrigé dans la version 4.2.8
• 4.3.x : < 4.3.5, corrigé dans la version 4.3.5
• 4.4.x : < 4.4.3, corrigé dans la version 4.4.3
• 4.5.x : versions non concernées
• < 2.8.0 et < 3.3.0 : versions non concernées

Résolution :

Ce problème a été corrigé dans les versions 2.14.12, 3.9.12, 4.0.11, 4.1.11, 4.2.8, 4.3.5 et 4.4.3 de la distribution SageMaker. Dans Amazon SageMaker Unified Studio, les espaces Studio adoptent au redémarrage le dernier correctif de leur branche de version mineure une fois les images corrigées déployées. Il n’est donc pas nécessaire de sélectionner une version. Nous vous recommandons de redémarrer tous les espaces qui utilisent ces versions mineures pour recevoir cette mise à jour.

Solutions de contournement :

Aucune.

Références :

• CVE-2026-104019
• GHSA-w64x-664p-7w66

Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.