CVE-2026-105811 - QnABot on AWS에서 Amazon Q Business Lambda 후크 샘플의 사용자 제어 키를 통한 권한 부여 우회
공지 ID: 2026-126-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 2026년 10월 6일 오후 1시 PDT
설명:
QnABot on AWS는 고객의 질문, 답변 및 피드백에 응답하는 다중 채널, 다국어 언어 대화형 인터페이스(챗봇)입니다. QnABot on AWS의 선택적 Amazon Q Business Lambda 후크 샘플에서 CVE-2026-105811을 식별했습니다. Amazon Q Business Lambda 후크 샘플(q-business-lambda-hook)은 QnABot on AWS 리포지토리에 포함된 선택적 통합 샘플입니다. 별도의 수동 배포와 추가 설정이 필요하며 QnABot에서는 자동으로 배포되지 않습니다. 이 샘플을 배포하지 않은 고객은 영향을 받지 않으며 별도의 조치를 취할 필요가 없습니다.
QnABot on AWS 버전 7.0.0~7.4.5에 포함된 샘플에서 사용자가 제어하는 키를 통한 권한 부여 우회 취약점으로 인해, 인증된 원격 사용자가 배포된 AWS 계정의 임의의 Amazon S3 객체를 읽을 수 있습니다.
이 문제를 해결하려면 영향을 받는 고객이 QnABot on AWS 스택을 버전 7.4.6 이상으로 업데이트한 다음 Amazon Q Business Lambda 후크 샘플 스택을 재배포해야 합니다. QnABot on AWS 스택만 업데이트해서는 해결되지 않습니다.
영향을 받는 버전: 7.0.0 이상, 7.4.6 미만
해결 방법:
이 문제는 QnABot on AWS 버전 v7.4.6에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에도 패치를 적용하는 것이 좋습니다. 고객은 QnABot on AWS 스택을 버전 7.4.6 이상으로 업데이트한 다음 Amazon Q Business Lambda 후크 샘플 스택을 재배포해야 합니다. QnABot on AWS 스택만 업데이트해서는 해결되지 않습니다. 현재 Amazon Q Business Lambda 후크 샘플 스택을 사용하지 않는 고객에게는 별도의 조치가 필요하지 않습니다.
임시 해결 방법:
사용 가능한 임시 해결 방법이 없습니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 Oren Yomtov에 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주세요.