CVE-2026-110248 – Einfügen vertraulicher Informationen in Protokolldateien im Amazon SageMaker Python SDK
Bulletin-ID: 2026-134-AWS
Bereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 14.10.2026, 11:30 Uhr PDT
Beschreibung:
Das Amazon SageMaker Python SDK ist eine Open-Source-Bibliothek für das Training und die Bereitstellung von Modellen für Machine Learning auf Amazon SageMaker.
Wir haben CVE-2026-110248 identifiziert, ein Problem in der git_utils.py -Komponente des Amazon SageMaker Python SDK. Wenn ein Git-Clone-Vorgang fehlschlägt, werden die Repository-Anmeldeinformationen in der Unterprozess-Fehlerausgabe ohne Schwärzung in CloudWatch Logs geschrieben. Ein authentifizierter Remote-Benutzer mit Zugriff auf diese Protokolle kann die Anmeldeinformationen im Klartext abrufen.
Betroffene Versionen:
- Amazon SageMaker Python SDK V2-Versionen vor 2.257.3
- Amazon SageMaker Python SDK V3-Versionen vor 3.10.0
Auflösung:
Dieses Problem wurde in den Amazon SageMaker Python SDK-Versionen V2 2.257.3 und V3 3.10.0 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder abgeleiteter Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Problemumgehungen:
Wenn ein sofortiges Upgrade nicht möglich ist, vermeiden Sie es, Anmeldeinformationen in Git-Repository-URLs anzugeben, und beschränken Sie den Zugriff auf CloudWatch-Logs, die die SageMaker-Python-SDK-Ausgabe enthalten. Prüfen Sie die Logs von fehlgeschlagenen Git-Clone-Vorgängen und rotieren Sie alle Anmeldeinformationen, die in der betroffenen Protokollausgabe enthalten waren.
Referenzen:
Danksagung:
Wir möchten Gouri Sankar A für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .