速報 ID: 2026-058-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 7 月 16 日 午前 10 時 00 分 (PDT)

説明:

Bedrock AgentCore Python SDK (bedrock-agentcore) は、Amazon Bedrock AgentCore プラットフォーム上で AI エージェントを構築するためのクライアントツールを提供する、オープンソースの Python ライブラリです。AWS は、SDK の OpenTelemetry インストルメンテーションにおいて CVE-2026-15737 を特定しました。影響を受けるバージョンでは、フィルタリングやマスキングを行わずに、呼び出しのたびに生のユーザープロンプトと完全なエージェント応答が OpenTelemetry スパン属性に書き込まれていました。これらのスパンはお客様の aws/spans CloudWatch ロググループに送信されます。そこでは、CloudWatch Logs の読み取りアクセス権を持つローカルの認証済みユーザーが、機密性の高いコンテンツにアクセスできてしまう恐れがあります。

影響を受けるバージョン: 1.4.8、1.5.0

解決方法:

この問題は Bedrock AgentCore Python SDK バージョン 1.5.1 以降で解決されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。また、影響を受けるバージョンを実行していたユーザーは、aws/spans CloudWatch ロググループ内に含まれる機密コンテンツを確認し、削除する必要があります。

回避策:

利用可能な回避策はありません。Bedrock AgentCore Python SDK をバージョン 1.5.1 以降にアップグレードしてください。

参考情報:

• CVE-2026-15737
• GHSA-hqf8-7w95-9r33

セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。