CVE-2026-115845: Validación incompleta en el entorno de pruebas de Python run_script en el servidor MCP de AWS
ID del boletín: 2026-149-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 23/10/2026 12:00 h PDT
Descripción:
El servidor MCP de AWS es un servidor administrado que permite a los agentes de IA acceder a AWS a través del protocolo de contexto para modelos (MCP), incluida una herramienta run_script que ejecuta scripts de Python en un entorno de pruebas.
Identificamos la vulnerabilidad CVE-2026-115845, un problema en el validador de código Python de la herramienta run_script del servidor MCP de AWS. Una lista incompleta de entradas no permitidas podría permitir a un usuario remoto autenticado ejecutar código arbitrario en su propio entorno de sesión aislado mediante un script diseñado específicamente.
Versiones afectadas: N/A (servicio administrado, hospedado exclusivamente)
Resolución:
Este problema se ha solucionado en el servicio. No se requiere ninguna acción por parte del cliente.
Soluciones alternativas:
La herramienta run_script está diseñada para orquestar las API de AWS mediante un script de Python. Si solo la usa para ejecutar un script de Python que haga llamadas a las API de AWS, no es necesaria ninguna solución alternativa.
Referencias:
Reconocimiento:
Nos gustaría dar las gracias a Manash Saikiafor por colaborar en este asunto a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.