CVE-2026-15957 – smithy-rs で生成された JSON、CBOR、および XML デシリアライザーでの制御されない再帰によって可能になる再帰型シェイプを介した未認証のリモートサービス拒否
速報 ID: 2026-061-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 7 月 21 日 午後 12 時 30 分 (PDT)
説明:
Smithy-RS は、Smithy インターフェイス定義から HTTP クライアントとサーバーを生成する Rust コード生成およびランタイムフレームワークであり、AWS SDK for Rust とカスタムサービスの実装を強化します。AWS は CVE-2026-15957 を特定しました。この問題では、Amazon smithy-rs コード生成によって生成された JSON、CBOR、XML デシリアライザー関数での制御されない再帰のため、生成された SDK またはサーバーへの再帰型モデルシェイプの深くネストされたデータを含む小さなリクエストを通じて、サードパーティがサービス拒否 (スタックの枯渇によるプロセスの中止) を引き起こす可能性があります。
影響を受けるバージョン: aws-sdk-rust クレート < release-2026-06-0
解決方法:
この問題は、release-2026-06-02 で解決されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
回避策:
パッチを適用したバージョンに更新する以外に回避策はありません。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。