CVE-2026-110248 – Insertion d’informations sensibles dans les fichiers journaux d’Amazon SageMaker Python SDK
ID du bulletin : 2026-134-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 14/10/2026 11:30 PDT (heure avancée du Pacifique)
Description :
Amazon SageMaker Python SDK est une bibliothèque open source permettant d’entraîner et de déployer des modèles de machine learning sur Amazon SageMaker.
Nous avons identifié CVE-2026-110248, un problème dans le composant git_utils.py d’Amazon SageMaker Python SDK. Lorsqu’une opération de clonage Git échoue, les informations d’identification du référentiel figurant dans la sortie d’erreur du sous-processus sont écrites dans CloudWatch Logs sans caviardage. Un utilisateur distant authentifié ayant accès à ces journaux peut obtenir les informations d’identification en texte brut.
Versions concernées :
- Versions d’Amazon SageMaker Python SDK V2 antérieures à la version 2.257.3
- Versions d’Amazon SageMaker Python SDK V3 antérieures à la version 3.10.0
Résolution :
Ce problème a été résolu dans Amazon SageMaker Python SDK V2 version 2.257.3 et V3 version 3.10.0. Nous vous recommandons de passer à la dernière version et de veiller à ce que tout code dérivé ou issu d’un fork intègre les correctifs.
Solutions de contournement :
Si la mise à niveau immédiate n’est pas possible, évitez d’inclure des informations d’identification dans les URL du référentiel Git et limitez l’accès aux journaux CloudWatch contenant la sortie du SDK Python SageMaker. Passez en revue les journaux des opérations de clonage Git qui ont échoué et renouvelez toutes les informations d’identification présentes dans la sortie du journal concerné.
Références :
Remerciements :
Nous tenons à remercier Gouri Sankar A pour sa collaboration sur cette question dans le cadre du processus coordonné de divulgation des vulnérabilités.
Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.