速報 ID: 2026-014-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 4 月 6 日 午後 2 時 (PST)

説明:

Research and Engineering Studio (RES) on AWS は、管理者が安全なクラウドベースの研究およびエンジニアリング環境を構築して管理するためのオープンソースのウェブポータルデザインです。当社は、AWS Research and Engineering Studio (RES) において、次の問題を特定しました。

CVE-2026-5707: AWS Research and Engineering Studio (RES) バージョン 2025.03～2025.12.01 の仮想デスクトップセッション名処理における OS コマンドの入力がサニタイズされていないため、認証済みのリモートの行為者が、細工されたセッション名を介して、仮想デスクトップホスト上でルートとして任意のコマンドを実行できる可能性があります。

CVE-2026-5708: 2026.03 よりも前のバージョンの AWS Research and Engineering Studio (RES) でのセッション作成コンポーネントにおける、ユーザーが変更可能な属性の不適切なコントロールにより、認証済みのリモートユーザーが、細工された API リクエストを介して特権を昇格させ、仮想デスクトップホストインスタンスプロファイルの許可を引き受け、他の AWS リソースおよびサービスとインタラクションできる可能性があります。

CVE-2026-5709: AWS Research and Engineering Studio (RES) バージョン 2024.10～2025.12.01 の FileBrowser API におけるサニタイズされていない入力により、認証済みのリモートの行為者が、FileBrowser の機能を使用する際に、細工された入力を介して、クラスターマネージャー EC2 インスタンス上で任意のコマンドを実行できる可能性があります。

影響を受けるバージョン: <= 2025.12.01

解決方法:

この問題は、RES バージョン 2026.03 で解決されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。

回避策
ユーザーは、[2025.12.01 and earlier] Preventing Command Injection via Session Name、[2025.12.01 and earlier] Privilege Escalation via Instance Profile Injection、または [2025.12.01 and earlier] Command injection via FileBrow の緩和手順に従って、既存の RES 環境にパッチを適用できます。

 

セキュリティに関する質問や懸念については、aws-security@amazon.com まで E メールでお問い合わせください。