CVE-2026-110248: Inserción de información confidencial en los archivos de registro de Amazon SageMaker Python SDK
ID del boletín: 2026-134-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 14/10/2026 11:30 h PDT
Descripción:
Amazon SageMaker Python SDK es una biblioteca de código abierto para entrenar e implementar modelos de machine learning en Amazon SageMaker.
Identificamos la vulnerabilidad CVE-2026-110248, un problema en el componente git_utils.py de Amazon SageMaker Python SDK. Cuando se produce un error en una operación de clonación de Git, las credenciales del repositorio que aparecen en la salida del error del subproceso se escriben en Registros de CloudWatch sin ocultarlas. Un usuario remoto autenticado con acceso a esos registros puede obtener las credenciales en texto plano.
Versiones afectadas:
- Versiones V2 de Amazon SageMaker Python SDK anteriores a la 2.257.3
- Versiones V3 de Amazon SageMaker Python SDK anteriores a la 3.10.0
Resolución:
Este problema se solucionó en Amazon SageMaker Python SDK V2 versión 2.257.3 y V3 versión 3.10.0. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado incorpore las correcciones.
Soluciones alternativas:
Si no es posible realizar la actualización de inmediato, evite incluir credenciales en las URL de los repositorios de Git y restrinja el acceso a Registros de CloudWatch que contengan la salida de SageMaker Python SDK. Revise los registros de las operaciones fallidas de clonación de Git y cambie las credenciales que estaban presentes en la salida del registro afectada.
Referencias:
Reconocimiento:
Agradecemos a Gouri Sankar A por su colaboración en la resolución de este asunto a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud de seguridad.