速報 ID: 2026-125-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 2 日午後 1 時 (太平洋標準時)

説明:

Amazon SageMaker Unified Studio は、データ、分析、AI 開発を統合する AWS のサービスです。このサービスを使用すると、組織のデータを検索してアクセスし、統合された専用ツールを使用して操作できます。

AWS は、SageMaker Unified Studio における SageMaker Space の起動に関する問題 CVE-2026-104019 を特定しました。SageMaker Space の起動スクリプトは、プロジェクトで使用可能なすべての SageMaker 接続に対してネットワーク検証を実行します。特定の条件下では、この検証中に接続の詳細が適切にサニタイズされない場合、別のプロジェクトメンバーの Space で任意のコードが実行される可能性があります。この問題により、信頼性の高い ID 伝播機能が有効になっているプロジェクトでは、プロジェクトのコントリビューターアクセス許可 (またはそれ以上) を持つユーザーが別のメンバーの一時的な実行ロール認証情報にアクセスし、そのメンバーに代わってダウンストリームの信頼性の高い ID 伝播が有効な AWS サービスを呼び出す可能性があります。

サポートされているすべての SageMaker Distribution バージョンに起動検証プロセス中に接続の詳細をサニタイズするための修正が適用されました。修正はグローバルにデプロイされており、次回の起動時にすべての Space に自動的に適用されます。

影響を受けるバージョン:

• 2.8.x～2.13.x: すべてのバージョンが影響を受けます。修正はありません (サポート終了)。
• 2.14.x: < 2.14.12、2.14.12 で修正済み
• 3.3.x～3.8.x: すべてのバージョンが影響を受けます。修正はありません (サポート終了)。
• 3.9.x: < 3.9.12、3.9.12 で修正済み
• 4.0.x: < 4.0.11、4.0.11 で修正済み
• 4.1.x: < 4.1.11、4.1.11 で修正済み
• 4.2.x: < 4.2.8、4.2.8 で修正済み
• 4.3.x: < 4.3.5、4.3.5 で修正済み
• 4.4.x: < 4.4.3、4.4.3 で修正済み
• 4.5.x: 影響なし
• < 2.8.0 および < 3.3.0: 影響なし

解決方法:

この問題は、SageMaker Distribution バージョン 2.14.12、3.9.12、4.0.11、4.1.11、4.2.8、4.3.5、および 4.4.3 で対処されています。Amazon SageMaker Unified Studio では、Studio Spaces はパッチが適用された画像がデプロイされると、再起動時にマイナーラインの最新パッチを自動的に採用するため、バージョンを選択する必要はありません。この更新を受け取るには、これらのマイナーバージョンの Space を再起動することをお勧めします。

回避策:

なし。

参考情報:

• CVE-2026-104019
• GHSA-w64x-664p-7w66

セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com  まで E メールでお問い合わせください。