公告 ID： 2026-149-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 23 日中午 12:00（太平洋夏令时）

描述：

AWS MCP 服务器是一个托管服务器，允许智能体通过模型上下文协议（MCP）访问 AWS。该服务器包含一个名为 run_script 的工具，可在沙盒环境中执行 Python 脚本。

我们发现了 CVE-2026-115845，这是 AWS MCP 服务器中 run_script 工具的 Python 代码验证程序的一个问题。由于禁止输入的列表不完整，经过身份验证的远程用户可能可以通过精心编制的脚本，在其各自隔离的会话环境中执行任意代码。

受影响的版本： 不适用（托管服务，独家托管）

解决方案：

此问题已在服务端得到解决。无需客户执行任何操作。

临时措施：

run_script 工具旨在通过 Python 脚本编排 AWS API 调用。如果您仅将其用于运行调用 AWS API 的 Python 脚本，则无需采取任何临时措施。

参考：

• CVE-2026-115845

致谢：

感谢 Manash Saikia 通过协调漏洞披露流程就此问题与我们协作。

如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。