CVE-2026-110248 – Amazon SageMaker Python SDK におけるログファイルへの機密情報の挿入
速報 ID: 2026-134-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
公開日: 2026 年 10 月 14 日午前 11 時 30 分 (太平洋標準時)
説明:
Amazon SageMaker Python SDK は、Amazon SageMaker で ML モデルをトレーニングおよびデプロイするためのオープンソースライブラリです。
AWS は、Amazon SageMaker Python SDK の git_utils.py コンポーネントにおける問題である CVE-2026-110248 を特定しました。Git クローン操作が失敗すると、サブプロセスエラー出力のリポジトリ認証情報がマスキングされないまま CloudWatch Logs に書き込まれます。これらのログにアクセスできる認証済みのリモートユーザーは、プレーンテキストの認証情報を取得できます。
影響を受けるバージョン:
- 2.257.3 より前の Amazon SageMaker Python SDK V2 バージョン
- 3.10.0 より前の Amazon SageMaker Python SDK V3 バージョン
解決方法:
この問題は、Amazon SageMaker Python SDK V2 バージョン 2.257.3 および V3 バージョン 3.10.0 で対処されています。最新バージョンへのアップグレードを推奨します。また、フォーク版や派生コードにも修正が反映されていることを確認してください。
回避策:
すぐにアップグレードできない場合は、Git リポジトリの URL に認証情報を含めないようにし、SageMaker Python SDK の出力を含む CloudWatch Logs へのアクセスを制限してください。失敗した Git クローン操作のログを確認し、影響を受けたログ出力に存在する認証情報をすべてローテーションしてください。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Gouri Sankar A 氏に感謝いたします。
セキュリティに関するご質問やご懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。