速報 ID: 2026-067-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 7 月 30 日 午前 11 時 00 分 (PDT)

説明:

Smithy-RS は、Smithy インターフェイス定義から HTTP クライアントとサーバーを生成する Rust コード生成およびランタイムフレームワークであり、AWS SDK for Rust とカスタムサービスの実装を強化します。AWS では CVE-2026-18140 を特定しました。0.62.7 以前の aws-smithy-json ランタイムクレートで、生成された個々の構造体デシリアライザーから smithy-rs コードジェネレーターが呼び出す unknown-key スキップパスでの制御不能な再帰が原因で、認証されていないリモートユーザーが、深くネストされた JSON を含む単一の小さい HTTP リクエストを smithy-rs 生成のサーバーに送信することでサービス拒否 (スタック枯渇によるプロセスの異常終了) を引き起こす可能性があります。

影響を受けるバージョン: aws-smithy-json <= 0.62.6

解決方法:

この問題は aws-smithy-json バージョン 0.62.7 で解決されました。 最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。

回避策:

パッチが適用されたバージョンに更新する以外に回避策はありません。

参考情報:

GHSA-8ffr-xgwf-xj56
CVE-2026-18140

セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。