ID Bollettino: 2026-134-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 14/10/2026 11:30 PDT

Descrizione:

Amazon SageMaker Python SDK è una libreria open source che consente di addestrare e distribuire modelli di machine learning su Amazon SageMaker.

Abbiamo identificato CVE-2026-110248, un problema nel componente git_utils.py di Amazon SageMaker Python SDK. Quando un’operazione di clonazione Git non riesce, le credenziali del repository presenti nell’output di errore del sottoprocesso vengono scritte nei log di CloudWatch senza essere oscurate. Un utente remoto autenticato con accesso a tali log è in grado di ottenere le credenziali in chiaro.

Versioni interessate:

• Versioni di Amazon SageMaker Python SDK V2 precedenti alla 2.257.3
• Versioni di Amazon SageMaker Python SDK V3 precedenti alla 3.10.0

Risoluzione:

Questo problema è stato risolto nelle versioni Amazon SageMaker Python SDK V2 2.257.3 e V3 3.10.0. Consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che qualsiasi codice derivato o di cui è stato eseguito il fork integri le correzioni.

Soluzioni alternative:

Se non è possibile eseguire immediatamente l’aggiornamento, evitare di includere le credenziali negli URL dei repository Git e limitare l’accesso ai log di CloudWatch che contengono l’output di SageMaker Python SDK. Esaminare i log delle operazioni di clonazione Git non riuscite ed effettuare la rotazione delle credenziali presenti nell’output dei log interessati.

Riferimenti:

• CVE-2026-110248
• GHSA-g6w4-jvgp-68x2

Ringraziamenti:

Desideriamo ringraziare Gouri Sankar A per aver collaborato alla risoluzione di questo problema attraverso il processo di divulgazione coordinata delle vulnerabilità.

Inviare un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.