CVE-2026-105811 - 亚马逊云科技云端 QnABot 中的 Amazon Q Business Lambda 钩子示例存在因用户控制的密钥导致的授权绕过漏洞
公告 ID： 2026-126-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期： 2026 年 10 月 6 日下午 13:00（太平洋夏令时）
描述：
亚马逊云科技云端 QnABot 是多渠道、多语言对话界面（聊天机器人）的示例解决方案，可响应客户的问题、答案和反馈。我们在亚马逊云科技云端 QnABot 的可选 Amazon Q Business Lambda 钩子示例中发现了 CVE-2026-105811 漏洞。Amazon Q Business Lambda 钩子示例（q-business-lambda-hook）是亚马逊云科技云端 QnABot 存储库中包含的一个可选集成示例。该示例需要进行单独的手动部署和额外设置，不会随 QnABot 自动部署。未部署此示例的客户不受影响，也无需采取任何行动。
在亚马逊云科技云端 QnABot 版本 7.0.0 至 7.4.5 附带的示例中，因用户控制的密钥导致的授权绕过漏洞可能会允许已通过身份验证的远程用户读取部署该示例的亚马逊云科技账户中的任意 Amazon S3 对象。
要修复此问题，受影响的客户应将亚马逊云科技云端 QnABot 堆栈更新至版本 7.4.6 或更高版本，然后重新部署 Amazon Q Business Lambda 钩子示例堆栈。仅更新亚马逊云科技云端 QnABot 堆栈无法应用此修复。
受影响的版本： >= 7.0.0，<7.4.6
解决方案：
此问题已在亚马逊云科技云端 QnABot 版本 v7.4.6 中得到解决。建议您升级到最新版本，并确保对任何分叉代码或派生代码进行修补，以纳入新的修复程序。客户应将亚马逊云科技云端 QnABot 堆栈更新至版本 7.4.6 或更高版本，然后重新部署 Amazon Q Business Lambda 钩子示例堆栈。仅更新亚马逊云科技云端 QnABot 堆栈无法应用此修复。当前未使用 Amazon Q Business Lambda 钩子示例堆栈的客户无需采取任何行动。
临时措施：
暂无可用的临时措施。
参考：
致谢：
感谢 Oren Yomtov 通过协调漏洞披露流程就此问题与我们协作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。