CVE-2026-110248 — Amazon SageMaker Python SDK 中将敏感信息插入日志文件
公告 ID： 2026-134-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 14 日上午 11:30（太平洋夏令时）
描述：
Amazon SageMaker Python SDK 是一个开源库，用于在 Amazon SageMaker 上训练和部署机器学习模型。
我们发现了 CVE-2026-110248，这是 Amazon SageMaker Python SDK 的 git_utils.py 组件中的一个问题。当 Git 克隆操作失败时，子进程错误输出中包含的存储库凭证会被写入 CloudWatch Logs，且未经过脱敏处理。有权访问这些日志的、经过身份验证的远程用户就能够获取明文凭证。
受影响的版本：
- Amazon SageMaker Python SDK V2（2.257.3 之前的版本）
- Amazon SageMaker Python SDK V3（3.10.0 之前的版本）
解决方案：
该问题已在 Amazon SageMaker Python SDK V2 版本 2.257.3 和 V3 版本 3.10.0 中得到解决。建议您升级到最新版本，并确保对所有分叉代码或派生代码进行修补，以纳入新的修复程序。
临时措施：
如果无法立即升级，请避免在 Git 存储库 URL 中包含凭证，并限制对包含 SageMaker Python SDK 输出的 CloudWatch Logs 的访问权限。检查失败的 Git 克隆操作所产生的日志，并轮换（更新）受影响日志输出中曾出现过的任何凭证。
参考：
致谢：
感谢 Gouri Sankar A 通过协调漏洞披露流程就此问题与我们协作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。