CVE-2026-105811 – QnABot on AWS の Amazon Q Business Lambda フックサンプルにおけるユーザー制御キーによる認可バイパス
速報 ID: 2026-126-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
公開日: 2026 年 10 月 6 日午後 1 時 (太平洋標準時)
説明:
QnABot on AWS は、顧客の質問、回答、フィードバックへの応答を提供するマルチチャネルの多言語対応の対話型インターフェイス (チャットボット) のサンプルソリューションです。当社は、QnABot on AWS のオプションの Amazon Q Business Lambda フックサンプルにおいて、CVE-2026-105811 を特定しました。Amazon Q Business Lambda フックサンプル (q-business-lambda-hook) は、QnABot on AWS リポジトリ に含まれるオプションの統合サンプルです。個別の手動デプロイと追加のセットアップが必要であり、QnABot とともに自動的にデプロイされることはありません。このサンプルをデプロイしていないお客様は影響を受けないため、対応は必要ありません。
QnABot on AWS バージョン 7.0.0～7.4.5 に含まれるサンプルにおけるユーザー制御キーを介した認可バイパスにより、認証済みのリモートユーザーがデプロイ先の AWS アカウント内の任意の Amazon S3 オブジェクトを読み取れる可能性があります。
この問題を修正するには、影響を受けるお客様は QnABot on AWS スタックをバージョン 7.4.6 以降に更新し、その後 Amazon Q Business Lambda フックサンプルスタックを再デプロイする必要があります。QnABot on AWS スタックのみを更新しても、修正は適用されません。
影響を受けるバージョン: >=7.0.0, <7.4.6
解決方法:
この問題は QnABot on AWS バージョン v7.4.6 で解決されています。最新バージョンにアップグレードし、フォーク版や派生コードにも新しい修正を取り込むためのパッチを適用することをお勧めします。お客様は、QnABot on AWS スタックをバージョン 7.4.6 以降に更新し、その後 Amazon Q Business Lambda フックサンプルスタックを再デプロイする必要があります。QnABot on AWS スタックのみを更新しても、修正は適用されません。Amazon Q Business Lambda フックサンプルスタックを現在使用していないお客様は、対応は必要ありません。
回避策:
利用可能な回避策はありません。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Oren Yomtov 氏に感謝いたします。
セキュリティに関するご質問やご懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。