公告 ID：2026-054-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期：2026 年 7 月 14 日下午 1:00 (太平洋夏令時間)

描述：

AWS HealthLake MCP 伺服器 (awslabs.healthlake-mcp-server) 是一個模型內容通訊協定伺服器，可讓 AI 助手與 AWS HealthLake FHIR 資料存放區進行互動。我們已識別 CVE-2026-15643，在所有平台上，AWS awslabs.healthlake-mcp-server 0.0.14 之前的分頁處理元件中的伺服器端請求偽造漏洞可能允許遠端已認證身分使用者透過精心構造的 next_token 參數將 AWS 臨時安全憑證洩露到任意端點。伺服器不會驗證分頁 URL 是否指向預期的 HealthLake 端點，從而允許執行者將後續請求重新導向到由執行者控制的伺服器。

受影響版本：< 0.0.14

解決方案：

已在 awslabs.healthlake-mcp-server 版本 0.0.14 中解決此問題。建議您升級至最新版本，並確保所有分支或衍生程式碼皆已套用修補程式，以納入最新修正。

變通方法：

在此期間，將伺服器使用的 IAM 政策範圍限定為最低權限而非資源：「*」，並且不要依賴 --readonly 標誌作為安全邊界 — 它是對變更工具的程序內保護，而不是 IAM 控制，因此揭露的憑證保留其全部授予的權限。如果懷疑使用受影響版本，使用以角色為基礎 (STS) 部署的營運商應考慮輪換受影響角色的憑證。

參考資料：

• CVE-2026-15643
• GHSA-c5vr-x62j-w6rw

致謝：

我們誠摯感謝 Marios Gyftos 透過協調的漏洞披露程序，與我們協作解決此問題。

如有任何安全問題或疑慮，請寄電子郵件至 aws-security@amazon.com。